Utvärdering av nätverkssäkerheten på J Bil AB

Transkript

1 Detta examensarbete har utförts i samarbete med J Bil AB Handledare på J Bil AB: John Marnell Utvärdering av nätverkssäkerheten på J Bil AB Evaluation of the network security at J Bil AB N a w a r S a m a n O l f e t A h m e d Examensarbete inom Data- och nätverksteknik Grundnivå, 15 hp Handledare på KTH: Magnus Brenning Examinator: Ibrahim Orhan Skolan för teknik och hälsa TRITA-STH 2013:74 Kungliga Tekniska Högskolan Skolan för teknik och hälsa Handen, Sweden I

2 II

3 Sammanfattning Detta examensarbete är en utvärdering av nätverkssäkerheten hos J BiL AB, både på social och teknisk nivå. Företaget är beroende av säkra Internet-anslutningar för att nå externa tjänster och interna servrar lokaliserade på olika geografiska platser. Företaget har ingen IT-ansvarig som aktivt underhåller och övervakar nätverket, utan konsulterar ett externt dataföretag. Syftet med examensarbetet är att utvärdera säkerheten, upptäcka brister, ge förbättringsförslag och till viss del implementera lösningar. För att undersöka säkerheten har observationer och intervjuer med personalen gjorts och ett flertal attacker mot nätverket har utförts. Utifrån den data som samlats in kunde slutsatsen dras att företaget har brister vad gäller IT-säkerheten. Framförallt den sociala säkerheten visade sig ha stora luckor vilket till stor del beror på att de anställda varken har blivit utbildade eller fått någon information om hur de ska hantera lösenord, datorer och IT-frågor i allmänt. Förbättringsförslag har getts och viss implementation har genomförts för att eliminera bristerna. De anställda har även med hjälp av en IT-policy och föreläsning blivit utbildade i hur de ska agera och tänka kring IT-relaterade säkerhetsfrågor Nyckelord: Säkerhet, social säkerhet, brute force, ordboksattack, kryptering, trådlösa nätverk, servrar, VPN, IT-policy, phishing. III

4 IV

5 Abstract The aim of this project is to evaluate the network security at J Bil AB. The focus will be on both social and technical issues. For the employees to be able to connect to remote servers and external services and perform their daily work tasks, secure connections is needed. J Bil Ab has no IT manager who actively maintains and monitors the network; rather they consult a computer company when changes and implementations are required. The projects goal is to identify gaps, come up with suggestions for improvement and to some extent implement solutions. To do this, an observation of the employees hav been made, an interview have been held, and several attacks on the network have been performed. Based on the data collected, it was concluded that the company has shortcomings in IT security. Above all, the social security appeared to have major gaps in it and that is mainly because the lack of knowledge among the employees and they have never been informed of how to manage their passwords, computers and IT issues in general. Suggestions for improvement have been given and some implementations have been performed to eliminate the deficiencies. Keywords: Network security, brute-force attack, dictionary attack, encryption, VPN, wirelsess networks, servers, phishing, IT Policies. V

6 VI

7 Förord Denna rapport beskriver ett examensarbete på 15hp inom nätverk och säkerhet på KTH. Examensarbetet är utfört på heltid under 10 veckor på Jbil AB. Arbetet påbörjades mars 2013 och avslutades i slutet på maj samma år. Ett stort tack till John Marnell, VD på Jbil AB och Robert Johnsson, affärschef på Jbil AB som gav oss möjligheten att utföra examensarbetet och som dessutom fanns som stöd redan i början av examensarbetet. Vi vill också rikta ett tack till handledaren på KTH Magnus Brenning, som hjälpte oss genom god vägledning och tips under arbetets gång. Vi tackar även all personal på Jbil AB som var oerhört hjälpsamma och samarbetsvilliga. Nawar Saman & Olfet Ahmed KTH, maj, 2013 VII

8 VIII

9 Innehåll 1. Inledning Bakgrund Målformulering Avgränsningar Lösningsmetoder Nulägesbeskrivning Teknisk bakgrund Tidigare studier Kryptering DES/3DES Autentisering Autentiseringsmetoder HASH HMAC Lösenord CIA VPN CHAP NAPT Hot och attacker Undersökning av företaget Observationer Intervju Topologi Tester Det trådlösa nätverket Resultat Hur säker är en server mot en attack utifrån? Hur säker är en server mot en attack inifrån? Resultat VPN-tunnlar Metod Resultat

10 5.5 Gästnätverk Phishing Resultat USB-test Resultat Lokalt administratorkonto Analys och rekommendationer Skydd mot DoS/DDoS-attacker VPN Kryptering Signering Autentisering Lösenord och konton Gamla konton Gamla datorer Phishing Kryptering av lokalt skapat data Social säkerhet Gästnätverk Slutsatser Variant på genomförande Framtida arbeten Källförteckning Bilagor Bilaga 1 - Intervju Bilaga 2 - Topologi innan implementering Bilaga 3 - Topologi efter implementering Bilaga 4 - HTML-kod

11 1. Inledning 1.1. Bakgrund Examensarbetet utförs på ett företag som har extern konsultering av datordrift. Detta innebär att hela nätverket sköts av ett externt företag. Vidare innebär det att kunskapsnivån hos de anställda på företaget är begränsad. Dessutom har företaget tre anläggningar som är kopplade till varandra, vilket leder till att en hel del information transporteras över nätet. Syftet med examensarbetet är därför att utvärdera säkerheten, upptäcka brister och implementera lösningar. Företaget har expanderat från 12 anställda till 55 anställda under en ca 3 års tid. Det har medfört att behovet av ett säkert nätverk har ökat. Det har aldrig skett en analys av säkerheten på företaget Målformulering Examensarbetet har nio mål: - Att på hårdvarunivå undersöka hur viktiga servrar är placerade fysiskt och om obehöriga kan komma åt dessa. - Att på mjukvarunivå undersöka bland annat brandväggen och andra mjukvarulösningar som gör det möjligt för de olika anläggningarna att kommunicera med varandra och även undersöka hur dessa är konfigurerade för att öka säkerheten. - Att undersöka säkerheten på social nivå. Ofta finns det en stor brist hos personalen vad gäller hantering av känslig data och lösenord. Dessutom är det väldigt få som är medvetna om riskerna som finns med att öppna ett okänt mail eller använda externa lagringmedier som inte har kontrollerats. Därför skall säkerheten även undersökas på social nivå. - Att komma med förbättringsförslag på vilka åtgärder företaget kan ta för att öka säkerheten och sammanställa en kort rapport för de ansvariga på företaget där språket håller rätt nivå för att de ska förstå sig på förbättringsförslagen. 3

12 - Att implementera och eventuellt designa säkerhetslösningar. - Att hålla en föreläsning för de anställda om vikten av säkerhet vid hantering av elektronisk data. - Att lämna in en skriftlig rapport. - Att hålla en muntlig redovisning av den skriftliga rapporten för handledare och examinator Avgränsningar Endast J Bil AB:s egna routrar och brandväggar skall undersökas. Eventuella hårdvara tillhörande externa företags kommer inte att undersökas. Endast anställda som använder datorer i sitt dagliga arbete kommer att intervjuas. Förbättringsförslagen kommer att omfatta relativt låga kostnader för företaget och förändringar som de anställda själva kan utföra och påverka på plats. Eventuella DMZ kommer inte att undersökas. Placeringen av hårdvara kommer inte att ändras, endast förbättringsförslag kommer att ges. Implementeringen kommer att innefatta låga kostnader och beroende på val av implementering kommer att användas permanent på företaget. Föreläsningen kommer inte att ta mer än 45 min och endast grundläggande frågor vad gäller data och IT-säkerhet kommer att tas upp. Projektet kommer inte att överskrida 10 veckor. 4

13 1.4. Lösningsmetoder Projektet inleds med en förstudie där undersökning av tidigare studier i ämnet gjorts. Vid undersökning av nätverkets topologi kommer lokalisering av hårdvara ske fysiskt på plats. Även undersökning av konfigurationsfilerna kommer att göras för att säkerställa dess funktion. Eventuellt kommer Topscore behöva konsulteras. För att analysera vilka paket som skickas mellan olika klienter och vilken riktning de har kommer så kallade sniffers att användas. Exempel på protokollanalyserande verktyg är Wireshark, Nagios Network Monitor och SoftPerfect network scanner. För att få en övergripande bild över hur de anställdas datorvanor ser ut kommer intervjuer att hållas. De anställda och deras kringmiljö kommer även att observeras. De ansvariga på företaget kommer att frågas ut om nuvarande IT-policy och om det skett några interna eller externa attacker mot nätverket. För att undersöka hur säkert nätverket är mot interna och externa attacker kommer nätverket att testattackeras. 5

14 6

15 2. Nulägesbeskrivning J Bil AB är en återförsäljare för Peugeot och med tre anläggningar i Stockholm anses företaget vara Sveriges största Peugeot-återförsäljare. Företaget består av 55 anställda och de flesta är beroende av sina datorer för att kunna utföra sitt dagliga arbete. För att underlätta arbetet för de anställda och maximera försäljningen har alla tre anläggningar sammankopplats med varandra via ett datorsystem. Detta innebär att på vilken anläggning en anställd befinner sig på inte har betydelse, personen i fråga kan utföra sina arbetsuppgifter ändå. Företaget har varken hyrt eller köpt egna linor för att koppla ihop anläggningarna utan förlitar sig på virtuella lösningar. J Bil AB har ingen anställd som underhåller nätverket, datorerna eller erbjuder de anställda support. Istället konsulteras vid behov ett externt företag vid namnet TopScore. Företaget har inte heller aktivt jobbat fram en IT-policy som de anställda har fått ta del av utan förlitar sig på sunt förnuft. Den främsta anledning till detta är att företaget startade med endast 12 anställda och en enda anläggning där cheferna själva kunde ha koll på IT-frågorna. Men under de senaste tre åren har företaget expanderat väldigt mycket utan att nya IT-rutiner har införts. Med tanke på hur företaget har expanderat så hanteras det stora summor pengar och känslig data. Dessutom konkurrerar J Bil AB med en rad olika företag i samma bransch vilket leder till att sabotage mot J Bil AB kan vara av intresse. De anställda har dessutom möjlighet att koppla upp sig hemifrån mot företagets nätverk vilket skapar ytterligare en sårbarhet. Därav är säkerheten högst relevant i företaget. Ingen loggning av händelser i nätverket sker idag vilket innebär att eventuella attacker inte kan upptäckas innan skada hinner ske. 7

16 8

17 3. Teknisk bakgrund I detta kapitel beskrivs de säkerhetsmekanismer och tekniska lösningar som krävs för utvärdering av nätverkssäkerheten. Dessa kommer även att ligga till grund för projektet. 3.1 Tidigare studier Det har inte tidigare gjorts någon säkerhetsutvärdering på J Bil AB. Dock har det gjorts liknande studier på andra företag, bland annat Evaluate Security on the Internet-Cafe, Paul A. och Zhang C, (2013) och Säkerhet i trådlösa lokala nätverk, Melander Jonas, (2005). I Evaluate Security on the Internet-Cafe undersöker Paul A. och Zhang C. olika säkerhetsmekanismer i ett Internet-café för att sedan göra en utvärdering av hur säkerheten ser ut. Då detta examensarbete kommer att vara anpassat för J Bil AB kommer vissa metoder som används att urskilja sig. Valda metoder och resultat kommer att jämföras med Evaluate Security on the Internet-Cafe, Paul A. och Zhang C, (2013). I Melanders rapport undersöks endast det trådlösa nätverket, men rapporten har gett inspiration till detta examensarbete. 3.2 Kryptering Det finns två sorters krypteringsmetoder som används vid skydd av data, symmetrisk kryptering och asymmetrisk kryptering. Symmetrisk kryptering innebär att sändaren och mottagaren har identiska nycklar som används vid både kryptering och dekryptering. Det innebär också att sändaren oftast måste skicka nyckeln över Internet vilket inte är säkert. En inträngare som lyssnar och analyserar trafiken kan få tillgång till nyckeln och dekryptera all data som skickas. För att göra det säkrare kan nyckeln exempelvis fysiskt överlämnas till mottagaren. Symmetrisk kryptering har fördelen att den kräver lite processorkraft och utför tidmässigt snabba beräkningar. Asymmetrisk kryptering innebär att det finns en publik nyckel som alla kan ta del av och en privat nyckel som bara en part har. Fördelen är att inga nycklar behöver skickas mellan sändaren och mottagaren. Dock har denna metod nackdelen att den är tidmässigt långsammare och kräver mer processorkraft i jämförelse med den symmetriska krypteringen. 9

18 3.3 DES/3DES DES är en krypteringsalgoritm som används för att skydda data som ska skickas över Internet. Algoritmen delar in det inmatade meddelandet i 64-bitars block för bearbetning. Blocket delas sedan in i två block som blir 32 bitar var. Dessa block bearbetas sedan i 16 rundor och byter under tiden plats med varandra. Denna teknik kallas för Feistel, där det högra blocket behandlas med en funktion och en nyckeln som den ronden har blivit tilldelad. När blocket är behandlat skiftas den för att hamna till vänster och blocket som tidigare var det vänstra blir till den högra. Figur 1 illustrerar hur en rond bearbetas. Figur 1 - En DES-rond DES använder sig av symmetrisk kryptering. Huvudnyckeln används i DES för att räkna ut subnycklar. Subnycklarna används sedan i samband med funktionen som körs på varje enskilt 32-bitars block. Efter 16 rundor har det då räknats ut 16 unika subnycklar. Samma process behöver självklart göras vid dekrypteringen, fast omvänt håll. Fördelen med att ha subnycklar är att endast en huvudnyckel behöver delas. DES ansågs länge vara ett väldigt säkert sätt att kryptera information på, men så småningom blev det möjligt för att knäcka DES. [1] Framför allt ansågs brute force-attacker vara möjligt. I samband med att en nyare och säkrare algoritm skulle tas fram var kravet att algoritmen skulle vara bakåtkompatibel. Detta för att alla system som använder sig av DES inte skulle behöva bytas ut, vilket skulle bli väldigt dyrt och opraktiskt. Lösningen blev 3DES, som namnet antyder bygger 3DES på DES men har högre säkerhet då den kör DES tre gånger på varje block med två olika nycklar, vilket figur 2 illustrerar. Det 3DES gör för att vara bakåtkompatibel är att den krypterar och sedan dekrypterar med samma nyckel för att avslutningsvis köra sista steget och 10

19 kryptera med första nyckeln igen. De två första stegen tar ut varandra och resultatet blir endast en kryptering med en nyckel som mottagaren kan dekryptera med hjälp av DES. Detta illustreras i figur 3. Icke bakåtkompatibel 3DES använder istället en annan nyckel vid steg två när den ska dekryptera meddelandet. Figur 2 Bakåtkompatibel 3DES Figur 3-3DES 3.4 Autentisering Autentisering innebär att den som autentiserar sig säkerställer att det verkligen är den personen eller tjänsten som den utger sig för att vara. Tanken är att ingen annan ska kunna förfalska identiteten och utföra ärenden i någon annans namn. Det kan också vara fall där exempelvis en server vill autentisera sig för en användare för att användaren ska kunna lita på källan och ladda ner önskad data. Autentisering kan också användas innan kommunikationen med andra klienter påbörjas. Om exempelvis hemlig och krypterad data ska skickas är det viktigt att säkerställa identiteten på mottagaren. Det finns olika metoder för autentisering, dock bygger alla metoder på en och samma princip. Båda partnerna kommer överrens om ett gemensamt lösenord, hemlig nyckel eller ett mönster som båda förstår och kan tolka. 11

20 3.4.1 Autentiseringsmetoder När en användare ska autentisera sig exempelvis mot en server för att ladda ner en fil skriver personen i fråga in ett användarnamn och ett lösenord. Detta är det vanligaste sättet att autentisera sig på. Lösenordet matchas sedan av servern mot lösenordet som finns sparat i databasen. Om lösenorden matchar kan servern vara säker på att det är en behörig person som vill komma åt filen. Ett annat vanligt sätt att identifiera sig på är digitala certifikat. Ett certifikat kan ses som en elektronisk legitimation. Certifikatet är verifierat och bekräftat av en känd tredje part vilket betyder att motparten kan lita på autentiseraren. Beroende på vilket system som används och hur hög säkerheten ska vara kan flera olika autentiseringsmetoder kombineras. Exempelvis kan ett kassaskåp både ha en nyckel och en kod för att låsas upp, eller en dator kan ha både fingeravtryckslås och lösenord vid inloggning. 3.5 HASH HASH-algoritmer är en typ av krypteringsalgoritmer vars syfte är att skapa en signatur. När en hashfunktion i kombination med en nyckel appliceras på datapaketen fås en så kallad digest. Digesten är en checksumma som består av en kombination av olika siffror och bokstäver och är en grundläggande del vad gäller autentisering. Uppgiften hos HASH-funktionen är att säkerställa integriteten vid asymmetrisk kryptering. HASH-algoritmer är oftast baserade på processer och funktioner som är enkla att räkna fram åt ena hållet men väldigt svåra att inventera utan några bakdörrar. Dessa kallas för envägs HASH-funktion. Syftet med en HASH-funktion är att säkerställa att ingen data har ändrats på vägen från källa till destination. Genom detta kan man även fastställa att avsändaren är autentisk. HASH-funktioner har inga begränsningar vad gäller storleken på datapaketen som de kan appliceras på och digesten blir alltid lika stor oavsett storleken på datapaketen. 12

21 De två vanligaste HASH-funktionerna är MD5 (Message Digest 5) och SHA-1 (Secure Hash Algorithm 1). Vad som skiljer de två funktionerna åt är algoritmen som de båda använder för att skapa en digest. att MD5 producerar en 128-bitars digest medan SHA-1 producerar en 160-bitars digest som presenteras i hexadecimal form. Ju längre checksumman är desto svårare blir den att knäcka. Dessvärre innebär en längre checksumma även att HASH-funktionen blir långsammare. 13

22 3.5.1 HMAC Vid autentisering av ett meddelande med hjälp av en digest så appliceras inledningsvis en HASH-funktion på hela meddelandet. Digesten som fås krypteras med sändarens privata nyckel som bifogas med det ursprungliga meddelandet. Meddelandet skickas nu till mottagaren som dekrypterar digesten med sändarens publika nyckel. Mottagaren applicerar en HASH-funktion på det ursprungliga meddelandet så att en till digest fås fram. De båda digesten jämförs nu med varandra och om de båda överrensstämmer med varandra så har autentiseringen lyckats och integriteten har säkerställts. Figur 4 visar hur ett meddelande HASH as och signeras innan det skickas till mottagaren och figur 5 visar hur mottagaren dekrypterar meddelandet och jämför de båda digesten med varandra. Figur 4 Signerat och HASH at meddelande skickas till mottagaren Figur 5 Signerat och HASH at meddelande tas emot från sändaren 14

23 3.6 Lösenord Ett säkert och unikt lösenord är bland det absolut viktigaste när det gäller att skydda sig mot intrång och hackare. Det är viktigt att inte använda samma lösenord till alla konton. Lösenordet till ett mejlkonto är ett av de viktigaste lösenorden. Har det lösenordet väl hackats är det inte så svårt att få tillgång till andra konton genom att ansöka om att byta lösenord och på så sätt få tillgång till mycket mer. Viktigt att påpeka är att det finns inget helt säkert och perfekt lösenord. Med rätt verktyg, som exempelvis ordlistor och brute-forceprogram så kan även säkra lösenord knäckas. Vad som definerar ett säkert lösenord är att det består av minst 8 tecken, anknyter inte till ens arbetsplats eller namn på familjemedlemmar. Lösenordet bör inte heller bestå av ett telefonnummer, personnummer eller annan personlig information. En kombination av gemener, versaler, siffror och specialtecken i lösenordet bör eftersträvas. Även om ett lösenord innehåller en kombination av olika tecken, som exempelvis Glass98! så är det fortfarande ett svag lösenord då det innehåller ett helt ord som med all säkerhet finns med i en ordlista. En säkrare variant är att ersätta vissa bokstäver i ordet glass med andra utseendemässigt lika bokstäver, exemplevis så att det ser ut som följande: g a$$ 98! Det finns många olika sätt för en hackare att komma åt ett lösenord, fyra av dessa är: Observering. En hackare kan komma över ett lösenord genom att kolla över axeln när någon loggar in med sitt användarnamn och lösenord, eller genom att läsa på papperslappar där diverse lösenord står nedskrivet. Ordboksattack. Hackaren använder sig av program som går igenom ordlistor i hopp om att hitta ett lösenord. Brute force-attack. Hackaren kör program som kombinerar alla möjliga tecken, bokstäver och siffror i jakt på rätt lösenord. Phishing. Hackaren skickar ut ett mejl som ser ut att komma från en legitim källa som lurar dem att lämna ifrån sig sitt användarnamn och lösenord. Skälet kan exempevis vara att en systemuppdatering har gjorts och därför behöver alla användare uppdatera sina konton. 15

24 3.7 CIA CIA-modellen står för sekretess, integritet och tillgänglighet. Det är en modell som länge har använts för att utvärdera säkerheten på olika system. Den tittar på tre olika faktorer; hur säkert det är mot att obehöriga kommer åt informationen, hur säkert det är att sändaren inte är manipulerad och är egentligen någon annan och slutligen hur lätt det är för en användare att komma åt nödvändig information eller tjänst. Nedan följer en mer detaljerad förklaring på vad varje begrepp innebär. Sekretess innebär att obehöriga inte ska kunna komma åt information eller utnyttja tjänster de inte har tillstånd till. Det gäller både fysiskt och även data som skickas över nätverk. Denna punkt är avgörande för företag och organisationer som vill skydda sin verksamhet. För att uppnå en acceptabel säkerhet vad gäller data som ska skickas över nätverk krypteras datat. När det gäller den fysiska sekretessen så finns det en rad olika lösningar beroende på hur företaget ser ut och exempelvis hur hårvaran är placerad. Integritet innebär att en mottagare som får data skickat till sig kan vara helt säker på att det är den riktiga sändaren som har skickat det. Dessutom kan mottagaren säkerställa att informationen inte har blivit manipulerad längs vägen av obehöriga. Vid en eventuell attack och manipulering av skickad data ska mottagaren kunna upptäcka detta. För att uppnå ett skydd skickar sändaren med en digest som mottagaren sedan kan jämföra med digesten som den själv räknar ut. Om meddelandet har blivit manipulerat så stämmer inte digesten. 16

25 Tillgänglighet innebär att exempelvis en anställd ska kunna komma åt nödvändiga tjänster för att kunna utföra sitt arbete på ett smidigt sätt. Samtidigt får det inte vara för lätt och osäkert då obehöriga kan utnyttja det. Det gäller alltså att hitta en balans mellan sekretess, integritet och tillgängligheten för användaren. För att kunna få en bild av hur ett system ser ut idag brukar en figur liknande figur 6 illustreras. Beroende på situation kan pricken flyttas mellan de tre olika hörnen i figur 6. Ett idealiskt system kan anses vara som bilden visar där pricken ligger i mitten och allting är i en perfekt balans. Figur 6 - CIA-modell 3.8 VPN VPN (Virtual Private Network) gör det möjligt för klienter och nätverk att kommunicera med varandra på ett säkert sätt över Internet via en virtuell tunnel. Tunneln i sig erbjuder inga säkerhetsmekanismer för en användare men med hjälp av diverse tillägg och tjänster kan en säker och billig direktanslutning fås mellan olika typer av ändpunkter. En tunnel kan skapas mellan exempelvis en: Gateway och gateway Server och gateway Server och server Klient och server Vid en VPN-uppkoppling mellan olika geografiskt lokaliserade nätverk behövs det en VPN-server och en VPN-klient. När VPN-klienten som vanligtvis är installerad på användarens dator kopplar upp sig mot VPN-servern krävs 17

26 autentisering. Användaren autentiserar sig genom ett användarnamn och ett lösenord. Syftet med en VPN-anslutning är att få tillgång till samma funktioner och fördelar som privata hyrda linor erbjuder vad gäller skydd och integritet av data fast till en lägre kostnad. En säker VPN-anslutning kan uppnås med hjälp av olika tekniker. Vilken VPN-teknologi som används beror på vilka protokoll som utnyttjas. Bland Windows-användare så är den allra vanligaste VPN-metoden PPTP (Point-to-Point Tunneling Protocol). PPTP kapslar in PPP-paket (Point-to-Point Paket) med hjälp av GRE (Generic Routing Encapsulation) som både komprimerar och krypterar datalasten. PPTP använder sig även av GRE för att skicka datapaketen från källa till destination över en TCP-uppkoppling och för att kontrollera flödet och filtrera paket. Autentisering i PPTP sköts av PPP-baserade protokoll som exempelvis EAP och CHAP. [2] Fördelen med denna metod är att den följer med Windows-paketet och att den är enkel att konfigurera. En nackdel är att att då den är beroende av andra protokoll för att erbjuda olika typer av säkerhetsmekanismer, så kan de två produkterna i sig vara okompatibla med varandra. Layer Two Tunneling protocol (L2TP) är en VPN-metod som jobbar på lager två i OSI-modellen men likt PPTP erbjuder den i sig inga säkerhetsmekanismer utan är beroende av ett underliggande protokoll, i detta fall PPP. En fördel jämfört med PPTP är att L2TP i kombination med IPsec kan erbjuda både sekretess och integritet. IPsec är idag en vanligt förekommande VPN-metod som jobbar på IP-lagret, d.v.s. lager 3 i OSI-modellen. IPsec gör kommunikationen säker genom att den erbjuder sekretess, autentisering och integritet. Dessutom erbjuder IPsec två sätt att transportera paket, "Transport Mode" och "Tunnel Mode". Två grundstenar i IPsec är AH (Authentication Header) och ESP (Encapsulating Security Payload). AH används för att autentisera användare gentemot varandra, säkerställa integriteten och för att förhindra s.k. replay-attacker. ESP används för att kryptera datapaketen som skickas mellan ändpunkterna. 18

27 För att två parter ska kunna utbyta data på ett säkert sätt med hjälp av IPsec så måste både sändaren och mottagaren komma överrens om gemensamma säkerhetsparametrar vilket sköts av protokollet ISAKMP/Oakley. Implementering av IPsec kan göras både i mjukvara och hårdvara. Fördelen med att implementera IPsec på en separat hårvara är att det minskar belastningen på den befintliga hårdvaran. Kryptering och dekryptering är operationer som kräver mycket resurser därav den separata hårdvaran. [3] 3.9 CHAP CHAP (Challenge-Handshake Authentication Protocol) används tillsammans med PPP för att verifiera en användares identitet när denne kopplar upp sig mot exemeplvis en server. Både enskilda användare och hela nätverk kan autentisera sig mot servern i fråga eller en internetleverantör. Vid uppkoppling använder sig CHAP av en 3-way handshake process för autentisering. Processen börjar med att klienten skickar en begäran om åtkomst till servern. En länk mellan klienten och servern skapas och därefter skickar servern ett challenge-meddelande till klienten. Klienten svarar med en MD5 HASH-summa som denne räknat fram. Servern kontrollerar svaret och om summan är korrekt är autentiseringen lyckad. Om autentiseringen misslyckas kopplas länken ner. Denna process upprepas med jämna mellanrum under hela uppkopplingsperioden för att verifiera att klienten fortfarande är en behörig användare. [4] Microsoft har utvecklat en variant av CHAP, vilket kallas MS-CHAP. Idag finns det två versioner av protokollet, MS-CHAPv1 och MS-CHAPv2, där MS-CHAPv2 är den säkrare varianten. Syftet med dessa protokoll är att göra det enkelt för Windows-baserade användare att autentisera sig gentemot servrar. Precis som i CHAP används en 3-way handshake med ett challenge-meddelande vid autentisering. MS-CHAP erbjuder dessutom funktioner som rapporterar fel i anslutningar och möjlighet för användare att ändra sitt lösenord. [5] 19

28 3.10 NAPT NAPT Network address and port translation används för att låta ett flertal klienter på ett nätverk dela på en gemensam publik IP-adress. Detta sker genom att routern översätter klienternas privata IP-adresser till den gemensamma publika IP-adressen. När klienter sedan kontaktar tjänster utanför det interna nätverket så översätt både den privata IP-adressen och portnummer till publik IP-adress och portnummer Hot och attacker Det finns flera olika sorters hot och attacker som har ett gemensamt slutmål, att orsaka skada eller ge fördelar till den som attackerar. Exempel på hot kan vara attack på den sociala säkerheten. Att utnyttja andras misstag är en klassisk attack på den sociala säkerheten. En person som har förvarat sitt lösenord på ett oansvarigt sätt eller som glömmer att låsa sin dator efter jobbet kan vara ett utmärkt tillfälle för en inträngare. Förutom attacker på den sociala säkerheten finns det attacker på hårdvara. Dessa attacker är fysiska på exempelvis servrar, länkar eller annan nödvändig utrustning. Attacker genom mjukvara är dock de vanligaste. I denna kategori finns en hel del sorters attacker. Exempel på de vanligaste attackerna: Skadlig kod är programkod som är inkluderad i ett annat program som en användare laddar ner utan att denne vet om det. Det är svårt att upptäcka manipulerade program innan nedladdning. Koden brukar oftast komprimera andra delar av programmet för att storleken inte ska öka. Det bästa skyddet mot sådana program är att endast ladda ner program från pålitliga källor. En mask kan vara ett eget program som har förmågan att kopiera sig själv till andra datorer som är anslutna till samma nätverk eller som bilaga i e-post. En mask som har kommit in i systemet genom ett säkerhetshål utnyttjar samma hål i andra system som den kan sprida sig till. Masken kan i sin tur sedan användas för att utföra diverse skada på 20

29 maskinen den har infekterat. Det är inte ovanligt att maskar används vid överbelastningsattacker. Attack på en VPN-tunnel är också fullt möjlig. En inträngare kan lyssna på trafiken genom VPN-tunneln och få ut en hel del information. Detta är självklart endast möjligt om inga säkerhetsmekanismer har valts till vid konfigureringen av VPN-tunneln. Den vanligaste säkerhetsmekanismen som brukar läggas till på VPN-tunnel är IPsec. En inträngare kan fortfarande lyssna på trafiken och knäcka IPsec-säkerheten men det blir en mycket mer omfattande process. DoS-attack (Denial of Service-attack) är en attack som kan användas för att exempelvis slå ut en dator, server eller en router. På så sätt kan ett helt nätverk sluta fungera. Attacken kan utföras på flera olika sätt. Ett av dessa är att skicka stora mängder datapaket som leder till att autentisk trafik inte kommer fram eller så kan systemet bli överbelastat och sluta svara. En variant på DoS-attacken är en DDoS-attack (Distribueted Denial of Servce-attack). Här används flera datorer för att samtidigt skicka stora mängder datatrafik eller begära stora filer från exempelvis en server. Resultatet blir ett överbelastat system. 21

30 22

31 4. Undersökning av företaget För att få en komplett utvärdering av säkerheten på J Bil AB krävs en utvärdering av den sociala säkerheten. Trots att det är en relativt svår process att hacka sig in i en dator eller server så är det inte helt omöjligt. Med dagens välutvecklade mjukvara går det, trots brist på teknisk kunskap och förståelse, att lyckas med ett intrång som kan leda till skador på ett helt nätverk. Enligt en undersökning som InfosSecurity Europe [6] har genomfört bland 152 kontorsanställda visade det sig att 66 % av de anställda använder samma användarnamn och lösenord till alla sina inloggningar på olika hemsidor och tjänster. Detta är väldigt riskfyllt och kan innebära en stor fara vad gäller säkerheten för företag med anställda som dagligen hanterar datorer där användarnamn och lösenord krävs. En inkräktare som har fått tillgång till lösenord eller lyckats komma åt en dator som denne inte är behörig till kan leda till förödande konsekvenser. Därför är det viktigt att titta på den sociala säkerheten. Hur personalen på ett företag hanterar lösenord och datorer kan innebära en stor säkerhetslucka. 4.1 Observationer Utvärderingen påbörjades med en observation av personalen. Innan observationen kontaktades chefen för att ge sitt godkännande. Målet var att få en bild av hur personalens datorvanor ser ut idag. Även hur lösenord förvaras och utifall en kund som kommer in kan på ett enkelt sätt få tillgång till ett lösenord. För att täcka in hela företaget spenderades en hel dag på varje anläggning. Det var inte bara personalen som observerades utan även i vilka utrymmen kunderna kunde röra sig i. Det första som uppmärksammades var att kunderna som stod vid disken till kundmottagningen på ett enkelt sätt kunde få tillgång till olika lösenord. Lösenorden var fastklistrade på skärmen och var inte alls gömda. Detta påträffades i varje anläggning. Vad gäller säljarnas datorer där kunder ofta sitter och får hjälp fanns det inga lösenord tillgängliga, men datorerna lämnades periodvis olåsta. Detta när säljaren skulle iväg och exempelvis få mer information om en bil som kunden efterfrågar eller letar efter en nyckel innan en 23

32 provkörning. Detta anses vara osäkert då kunden möjlighet att göra intrång i datorn och nätverket. Även detta påträffades i alla tre anläggningar. När observationen var klar togs ett steg till för att förstår hur personalen hanterar lösenord. Efter arbetstid undersöktes skrivborden för att försöka hitta lösenord. Försöket var lyckat ur en inträngares perspektiv då flera lösenord påträffades, dels under tangentborden och dels nedskrivna på papper i närheten av arbetsplatsen. Några datorer var även påslagna och inloggade vilket innebar att det fanns full tillgänglighet till en hel del information och självklart till själva nätverket. Inga lösenord påträffades digitalt på själva datorerna som kollades igenom men det var inte ovanligt att hitta jobbrelaterade filer som obehöriga inte bör komma åt. De datorer som var på hade även tillgång till mejlen till den personen som var inloggad. Det fanns även möjlighet att komma åt andra användares mappar och filer förutsatt att de har loggat in och använt den datorn som var olåst. 4.2 Intervju För att kunna få en komplett bild ansågs en enkätundersökning vara nödvändig. En bild över hur de anställda hanterade sina datorer till vardags var väsentlig då observationen endast gjordes under en dag på grund av tidsbrist. För att se alla intervjufrågor se bilaga 1. Enkätundersökningen gjordes för att få en ökad förståelse för hur mycket som finns sparat på själva datorn och vad en hackad dator kan innebära för säkerhetsrisker för företaget. Kan exempelvis en dator som blir hackad i Haninge påverka anlänggningen i Täby eller i Upplands Väsby? Enkätundersökningen gjordes som en intervju för att det ansågs vara enklast för de anställda och även för att få så kompletta svar som möjligt. Skulle en fråga vara otydlig för den intervjuade så kan denne få den förklarad samtidig som ifall ett svar är otydligt så kan en följdfråga ställas. Intervjun pågick i ungefär 10 minuter och var i viss mån anonym. Det förklarades för personalen att svaren endast samlas in i undersökningssyfte och kommer inte att kunna associeras till varje enskild person när informationen senare redovisas. Intervjuerna genomfördes enskilt ansikte mot ansikte i ett avskilt rum. Endas en intervjuare satt med en anställd för att den anställda i fråga inte ska uppleva intervjun som ett förhör. Alla anställda hade innan 24

33 projektet påbörjades fått ett mejl av deras chefer där det förklarades att de kan komma att bli intervjuade angående deras datorvanor. Detta för att ingen ska känna att de gör något under arbetstid som cheferna inte är okej med. Företaget har 55 ställda men endast 24 av dessa intervjuades. Dessa inkluderar säljare, kundmottagare, administratörer och assistenter. Personerna som intervjuades ansågs använda datorer i högre grad än de övriga anställda. Antalet personer som presenteras nedan avser endast den andel av de personer som har blivit intervjuade. Majoriteten av de anställda använder sig av en stationär dator, men siffrorna är ändå väldigt nära i jämförelse med laptop-användare. Statistiken visar att 42 % (10 personer) använder laptop och 58 % (14 personer) använder stationär. Därför ställdes flera frågor till anställda med laptop då en laptop löper en större säkerhetsrisk. Även om många har bärbar dator var det inte självklart att datorn togs med hem i slutet av dagen, 40 % (4 personer) tar inte med sig datorn hem visade undersökningen. Många av de som inte tar med sig datorn hem behöver en laptop för att kunna utföra sitt arbete på olika anläggningar eller platser på företaget, exempelvis vid möten. Då datorer som tas med hem innebär en större säkerhetsrisk ställdes ytterligare två frågor till de personer som tar med sig datorn. Det visade sig att 90 % (9 personer) inte låter sina övriga familjemedlemmar använda datorn och att 100 % (10 personer) inte lämnar datorn synlig i bilen när de exempelvis ska handla efter jobbet. Att datorn används av övriga familjemedlemmar kan vara en stor säkerhetslucka då dels dessa personer egentligen inte ska ha tillgång till företagets filer och dels för att dessa personer kan använda datorn på ett felaktigt sätt. Detta ger större möjlighet för en inträngare att kunna hacka sig in. Att exempelvis ladda ner program eller spel från icke betrodda källor kan resultera i virus eller skadlig kod. Majoriteten svarade nej på frågan vilket är väldigt positivt men den lilla minorit som svarade ja behöver ändå förstå riskerna med att låta andra obehöriga använda datorn. 25

34 Att få en dator stulen kan vara kostsamt ur ett ekonomiskt perspektiv, men det är oftast ännu mer kostsamt ut ett säkerhetsperspektiv. Hamnar datorn i fel händer kan en inträngare hacka sig in i företagets nätverk på ett mycket enklare sätt. Svaren från de två sista frågorna kan ifrågasättas då många kanske inte skulle svara ärligt även om de låter övriga familjemedlemmar använda datorn eller lämnar bilen synlig i bilen. Det skeptiska tänkandet kommer ifrån att det faktiskt har skett fall i företaget genom tiden där datorer har lämnats i bilen exempelvis. Dessutom vet antagligen de anställda att inga övriga familjemedlemmar får använda datorn och det kan kännas obekvämt att erkänna det då intervjun inte var helt anonym. Som det har varit hittills verkar de anställda dock använda datorerna med sunt förnuft då inga intrångsförsök har skett än. De anställda tillfrågades om de har sparat lösenord digitalt på sin egna dator till sitt egna konto och även till andra eller andras konton. Det visade sig att 33 % (8 personer) svarade ja på den frågan. Att komma åt lösenord när en användare är inloggad på en dator är inte bra ur ett säkerhetsperspektiv. Det kan drabba den enskilda personen som är inloggad men även hela företaget uifall det finns känsliga lösenord sparade. Det är absolut ingen lösning att spara lösenord på själva datorn, tyvärr verkar flera på företaget använda sig av den metoden. Detta måste åtgärdas och de anställda måste förstå vad konsekvenserna kan bli. Dessutom måste en bättre lösning presenteras för personalen så att de inte tvingas spara lösenord på datorn. De anställda tvingas idag byta lösenord så ofta som systemet kräver det, vilket är var 90:e dag, ingen på hela företaget byter oftare. Det kan tolkas på två olika sätt, antingen är det så pass ofta systemet kräver det att ingen behöver göra det innan. Eller så är det en brist hos personalen att inte tänka på det. I detta fall anses det andra alternativet mer relevant då systemkravet på att byta lösenord är var 90:e dag. Det som anses vara säkert är att lösenordet ska bytas var 60:e dag. Antingen ska personalen själva ta eget ansvar och göra detta eller så bör man ändra kraven på systemet. 26

35 Nästa fråga som ställdes var hur de anställda sparar sina lösenord. 29 % (7 personer) svarade "I huvudet", 54 % (13 personer) svarade "Lapp på kontoret" och 17 % (4 personer) svarade "Fil på datorn". Hur användarna sparar sina lösenord är oerhört viktigt. Det är en stor säkerhetsrisk att spara lösenord synliga för andra. Att bara komma ihåg lösenordet utan att skriva ner det anses vara det säkraste sättet. En fil på datorn är inte säkert alls men ännu värre är en lapp på kontoret, speciellt när många andra personer rör sig i samma utrymme. De anställdas förklaring till varför lösenordet skrivs ner på en lapp och sparas på kontoret var att det är det lättaste sättet om lösenordet skulle glömmas. Problemet är att om det är nära tillhands för personen som använder lösenordet så gäller samma sak för en inträngare. Hur många tecken ett lösenord består av är avgörande för hur lång tid det tar att knäcka det. 58 % (14 personer) av de anställda har ett lösenord på 6-8 tecken, 38 % (9 personer) har ett lösenord på 9-12 tecken och 4 % (en person) har ett lösenord som är längre än 12 tecken. Enligt en undersökning som PC-Tidningen har utfört tar ett lösenord med fyra gemena bokstäver endast åtta minuter att knäcka. [7] Om en gemen bokstav byts ut mot en versal kan tiden öka med upp till två timmar. Om bokstaven istället byts ut mot en siffra så kan tiden för att knäcka lösenordet öka med upp till fyra timmar. Undersökningen visar dessutom att om lösenordet ökas från fyra tecken till åtta kan tiden för att knäcka lösenordet öka markant, upp till 70 århundraden. Att de flesta anställda har sex till åtta tecken är ganska bra men självklart ska lösenordet helst ligga mellan åtta till tolv tecken. Över tolv tecken kan ge motsatt effekt. Det är få som klarar av att ha ett så långt lösenord i huvudet vilket leder till att lösenordet skrivs ner. Då minskar säkerheten för det mesta då lösenordet sparas på ett osäkert sätt som frågan ovan påvisar. 27

36 Antal personer Hur många känner till ditt lösenord? (63%) 1-2 (21%) 3-4 (8%) 4+ (8%) Diagram 1 Hur många känner til ditt lösenord? Om flera anställda känner till ett och samma lösenord kan det bli stora problem om något ska bevisas. Det är alltid den som äger lösenordet som får ta konsekvenserna för eventuell vandalisering, även om personen i sig inte alls har gjort det. Därför är det oerhört viktigt att endast ägaren känner till lösenordet. Så är fallet för de flesta anställda på företaget men det finns fortfarande personer som behöver jobba på den frågan. Vissa anställda tvingas ge ut sitt lösenord för att underlätta arbetet under vardagen, men i sådana fall ska problemet behandlas på ett annat sätt. Exempelvis i Väsby tvingas en anställd ge ut sitt lösenord till sin dator då den används av mekanikerna på företaget. Detta för att det endast finns en dator för mekanikerna vilket leder till att det bildas en kö. Denna lösning anses vara väldigt kortsiktig och osäker, därför skall en bättre lösning presenteras. De anställda frågades ifall de använder sig av samma lösenord till flera inloggningar. 33 % (8 personer) svarade ja, 58 % (14 personer) svarade nej och 9 % (2 personer) svarade liknande. De flesta inkräktare som får tillgång till ett lösenord provar samma lösenod på andra inloggningskrävande ställen som tillhör samma person. Detta på grund av att många har samma lösenord till flera inloggningar. Konsekvenserna blir att det räcker med att en inträngare får tillgång till ett enda lösenord för att orsaka skada på flera system. Majoriteten på företaget har olika lösenord men resterande bör uppmanas till att inte ha det. 28

37 Antal personer I de flesta fallen börjar en inträngare med att försöka gissa sig fram till lösenordet. Rimligtvis påbörjas gissningen med saker som användaren gillar. Det kan vara allt ifrån ett barn till ett fotbollslag, beroende på hur väl inträngaren känner personen kan det bli olika svårt att gissa. Det är därför rekommenderat att lösenordet inte associerar till något eller någon som står en nära hjärtat. Även om inträngaren inte känner personen finns det fortfarande risk att lösenordet går att gissas fram. En undersökning där Expressens dataexperter undersökt strax över lösenord visade det sig att 1162 personer hade lösenordet "123456". [8] Det är därför viktigt att tänka till och sätta sig i en inträngares sits innan lösenordet ska väljas. Bland de tillfrågade på företaget visade de sig att 58 % (14 personer) associerar sig lösenord till något eller någon de gillar. Samtidigt så svarade precis som diagram 2 visar - att hela 83 % (20 personer) tror sitt lösenord är svårgissat Hur lätt/svår - gissat tror du att ditt lösenord är? Lätt (4%) medel (13%) Svårt (83%) Diagram 2 - Hur lätt/svår -gissat tror du att ditt lösenord är? 49 % (11 personer) av de anställda har ett lösenord som betyder något, alltså ett ord. Medan 51 % (13 personer) hittar på ett lösenord som är kombinerat och inte betyder något. Att ett lösenord består av ett ord som betyder något är inte alls ovanligt, därför finns det väldigt många ordlistor som har skapats för att knäcka sådana lösenord. En sådan attack kallas för ordboksattack och går ut på att prova väldigt många ord tills rätt lösenord hittas. Består lösenordet av ett ord som 29

38 betyder något ökar alltså risken väldigt mycket vid en sådan attack. Det är mycket svårare att skapa en gissningslista med en kombination av olika tecken. En fråga om huruvida personen har tillgång till andras lösenord ställdes för att få en uppfattning om hur spridningen av lösenord på företaget ser ut. 25 % (6 personer) svarade ja medan 75 % (18 personer) svarade nej. Att döma från statistiken och frågan innan så verkar det finnas en del anställda som har avslöjat sitt lösenord utan att komma ihåg det. Det är totalt 37 % (9 personer) som svarade att minst en person har tillgång till lösenordet samtidigt som det bara är 25 % (6 personer) som har tillgång till andras lösenord. Siffrorna anses ändå vara bra då det är mindre andel som har svarat att de har tillgång till andras lösenord än de som har gett ut sitt lösenord. Detta kan också vara ett tecken på att de anställda faktiskt svarar ärligt på frågorna och berättar att de har avslöjat sitt lösenord. 33 % (8 personer) låser sin dator när de lämnar den medan resterande låter den vara öppen. Det absolut enklaste sättet att komma åt information och tjänster utan att vara behörig är att sätta sig framför en olåst dator. På företaget lämnar majoriteten sina datorer olåsta vilket gör det väldigt enkelt för en inträngare. Under vardagar är risken mindre då oftast andra anställda befinner sig i närheten, förutsatt att alla på företaget litar på varandra. Men under helgerna då det råder underbemanning ökar risken markant. De datorer som löper störst risk är datorer som är placerade vid disken och är väldigt lätttillgängliga för kunderna. Maskar har som tidigare nämnts en förmåga att kopiera sig själv. Att flytta dokument eller andra filer från en smittad privat dator till en jobbdator kan leda till att övriga datorer i nätverket så småningom blir infekterade. Majoriteten på företaget undviker att föra över filer mellan privat- och jobbdator vilket anses vara bra. Det var endast 3 % (3 personer) som svarade att de flyttar dokument mellan privat- och jobbdator. En dator som används till icke jobbrelaterade ärenden och som används till att exempelvis surfa löper en mycket högre risk för att bli hackad. Företaget har aktiva brandväggar för de program som körs och behöver uppkoppling mot diverse servrar och Internet. Att själv ladda ner icke jobbrelaterade program från 30

39 Antal personer opålitliga källor kan skapa en stor säkerhetslucka i nätverket. Generellt sätt brukar surfande till pålitliga sidor inte anses vara en stor risk. Enligt de anställda är det oftast det datorerna används till under raster och ledig tid. Att surfa in på nyhetssidor ligger på topp vad gäller icke jobbrelaterad datoranvändning, 58 % (14 personer) gör detta. Resterande 42 % (10 personer) hävdar att privatsurfande aldrig förekommer. Detta resultat kan möjligtvis vara opålitligt då det kan tänkas vara jobbigt att erkänna att man inte jobbar på arbetstid. Under observationstiden lades det märke till att flera personer faktiskt surfar på sina raster. Var sparar du dina dokument? På servern (25%) Lokalt på datorn (75%) Diagram 3 - Var sparar du dina dokument? Diagram 3 visar hur många av de tillfrågade som sparar sina dokument på servern respektive lokalt på datorn. 25 % (6 personer) svarade att de sparar sina dokument på servern medan majoriteten sparar dokumenten lokalt på datorn. Efter att ha undersökt säkerhetsmekanismerna på servern konstaterades det att servern inte alls är säker. Lösenordet som gav tillgång till allas mappar och dokument var otroligt lättgissat och det krävdes endast grundläggande kunskaper för att komma in på servern. Just nu är det säkrare för personalen att spara lokalt ur ett sekretessperspektiv. Men i framtiden när lösenordet har ändrats blir det mycket svårare att komma åt information på servern vilket ökar säkerheten. Det anses vara dåligt att spara lokalt då datorerna är mer utsatta för hårdvarufel. De anställda kommer därför att uppmanas till att spara allting på servern när den har blivit säkrare. Det finns idag ett backup-system på servern som skyddar mot eventuella fel, backupen finns dock på samma ställe som servern och skyddar inte mot fysisk skada som exempelvis en brand. 31

40 Majoriteten av de anställda 71 % (17 personer) svarade att de aldrig blivit aktivt informerade om hur jobbdatorn ska användas. Vad som är tillåtet och inte har varje anställd själv listat ut med sunt förnuft. De som svarade ja syftade på att chefen hade skickat ut ett mejl en gång i tiden där det står att ingen får streama musik och video då det sänker hastigheten för alla andra på företaget. Det var bara en enda person på hela företaget som visste vad som händer med den gamla datorn när den byts ut. Topscore som konsulteras vid utbyte av datorer sköter även själva bytet och överföringen av all data från den gamla datorn till den nya. Enligt de anställda bearbetas inte den gamla datorn eller rensas. Det finns även möjlighet för de anställda att ta hem den gamla datorn, och även då utan någon bearbetning innan. Detta anses vara en stor säkerhetslucka då det finns värdefull information på datorerna som underlättar arbetet markant för en inträngare. Även om datorn kasseras måste den rensas innan då den fortfarande kan hamna i fel händer. Datorerna är inte märkta och det finns inga register för att se vilka datorer som saknas eller har bytts ut. De flesta på företaget 79 % (19 personer) får spam-mejl där de erbjuds diverse billiga varor eller där det står att de har vunnit pengar. Sådana mejl leder oftast till virus och skadegörelse och anses vara en säkerhetsrisk. Därför ställdes frågan ifall de öppnar och klickar i mejlen. 96 % (23 personer) svarade nej vilket anses vara bra då risken för virus minskar. 4.3 Topologi För en komplett bild över nätverkstopologin, se bilaga 2. När en klient vill nå en tjänst på Internet kopplas denne först upp via en switch som alla klienter på anläggningen är kopplade till. Switchen är kopplad till anläggningens router. Routern är i sin tur kopplad till internetleverantörens router. Detta resultat kunde åstadkommas med hjälp av programmet AdRem ITools och kommandot tracert i Windows kommandotolken. För att säkerställa att IP-adresserna i paketspårningen verkligen tillhör hårdvaran på plats i anläggningen gjordes en inloggning på routern. För ytterligare säkerställning av detta tillfrågades Topscore via telefon då de är insatta i nätverket. [9] 32

41 För att få en bild över hur de tre anläggningarna är kopplade med varandra undersöktes konfigurationerna i routrarna på alla tre anläggningar. Det kunde konstateras att tre tunnlar är konfigurerade på så sätt att en säker kommunikation mellan anläggningarna ska kunna ske. Genom att undersöka käll- och destinationsadress för varje VPN-tunnel i varje router kunde det konstateras att alla tre anläggningar är sammankopplade med varandra med varandra i form av en ring. Det kunde utläsas ur konfigurationsfilerna att kryptering av data och signering sker med hjälp av DES respektive MD5. 33

42 34

43 5. Tester I detta kapitel redogörs för hur uppgiften metodmässigt har lösts och hur arbetet har genomförts. Genomförandet har varit i form av olika tester, undersökningar och implementationer 5.1 Det trådlösa nätverket Ett trådlöst nätverk kan vara en stor säkerhetslucka ifall den inte är konfigurerad på rätt sätt. Signalen brukar oftast nå ut till ett större område än själva arbetsplatsen, vilket underlättar för en inträngare. J Bil AB använder sig av WPA2 vilket innebär att ett svag lösenord medför en stor säkerhetsrisk. För att en inträngare ska kunna utföra en attack genom en trådlös accesspunkt behöver tre punkter vara uppfyllda: 1. Signalen måste vara tillräckligt stark och nå till platsen inträngaren befinner sig på. 2. Den trådlösa accesspunkten är inte isolerad från det övriga interna nätverket. Praktiskt sätt är det likadant att vara uppkopplad med kabel eller via accesspunkten. 3. Det trådlösa nätet har ett lösenord av den karaktär som går att knäcka inom rimlig tidsgräns. En undersökning gjordes på alla tre anläggningar för att upptäcka om något av ovanstående punkter uppfylldes. Testet gjordes i tre steg: 1. Testet påbörjades med att åka runt anläggningarna i en bil utrustad med en laptop (ASUS K55D 2.5 GHz i5 CPU 8 GB RAM) för att undersöka hur långt signalen räckte. 2. En inloggning i accesspunkten gjordes för att undersöka hur den är konfigurerad. Detta för att upptäcka om det trådlösa nätverket är isolerat ifrån det övriga nätverket. För att isolera ett nätverk används VLAN och det var det som undersöktes i konfigurationen. 35

44 3. För att försöka knäcka ett lösenord till ett trådlöst nätverk användes följande metod i tre steg: Programmet CommView användes för att få en handshake-fil. Programmet gör detta genom att försöka ansluta till den trådlösa accesspunkten. Genom denna process fås alla nödvändiga parametrar sparade i en fil för att sedan kunna testa att ansluta med olika lösenord. I nästa steg användes programvaran Aircrack. Filen från ovanstående steg laddades in för att Aircrack ska kunna testa olika lösenord. Aircrack behövde även en lista med olika tänkbara lösenord. För att skapa lösenordslistan användes programmet L517. Den hade de inställningar som efterfrågades för att skapa önskad lösenordslista, som t.ex. antal tecken som lösenordet ska bestå av, stora eller små bokstäver och var i lösenordet tecken ska inblandas. För att skapa listor med lösenord användes gissningsmetoden. Då företaget heter J Bil och säljer Peugeot var det de mest uppenbara gissningarna. Det var även logiskt att gissa på "PeugeotHaninge" till exempel ifall det var nätet i Haninge som skulle hackas. Programmet användes sedan för att ta de framgissade orden och kombinera dessa med diverse tecken. Några exempel på listor som skapades var: Peugeotxxx peugeotxxx Jbilxxxx JBilxxx PeugeotHaningexx peugeothaningexx Peugeothaningexx peugeothaningexx 36

45 5.1.1 Resultat Haninge: Signalen var tillräckligt stark till den närmaste parkeringen som låg tvärs över gatan. Det trådlösa nätverket var inte isolerat från det övriga interna nätverket. Lösenordet var relativt enkelt att knäcka tack vare gissningarna, det tog cirka tre timmar. Väsby: Signalen var tillräckligt stark till den närmaste parkeringen som låg tvärs över gatan. Det trådlösa nätverket var inte isolerat från det övriga interna nätverket. Lösenordet hängde på väggen och fanns tillgängligt för alla. Täby: Signalen var tillräckligt stark till den närmaste parkeringen som låg tvärs över gatan. Det trådlösa näverket var inte isolerat från det övriga interna nätverket. Lösenordet var för komplicerat för att knäcka med metoden som användes i Haninge. Lösenordet hade ingen relation till gissningarna ovan och innehöll en avancerad kombination av tecken och siffror visade det sig senare när TopScore tillfrågades efter lösenordet. Ett liknande test har utförts av Paul A. och Zhang C. i Evaluate Security on the Internet-Cafe, Metoderna som användes var i princip identiska med oavnstående nämnda. Resultatet av testet blev det samma vilket visar konsekvenserna av ett svagt lösenord. 37

46 5.2 Hur säker är en server mot en attack utifrån? Det har konstaterats att alla tre anläggningars routrar använder sig utav NAPT. Detta innebär att klienters privata ip-adresser, inklusive servrars ip-adresser, aldrig blir synliga utanför det interna nätverket. Undersökningen påbörjades genom att några slumpnässigt utvalda klienters IP-adresser undersöktes. Dessa visade sig använda en och samma publika IP-adress trots att de har blivit tilldelade olika privata IP-adresser. För att säkerställa att NAPT är det som används i routrarna gjordes en undersökning i routrarnas konfigurationsfiler. Konfigurationen bekräftade att det sker en dynamisk NAPT. I och med att servrarna har privata IP-adresser och aldrig blir synliga utanför det interna nätverket försvårar det processen för en hackare att utföra attacker mot en server, och även andra måltavlor då denne inte vad för noder som döljer sig bakom routern. 5.3 Hur säker är en server mot en attack inifrån? Det är viktigt att undersöka hur säker en server är mot en attack inifrån nätverket då risken finns att någon får tillgång till nätverket antingen via kabel eller via den trådlösa accesspunkten. Det gäller både intrångsattacker där en inträngare försöker komma åt obehörig data men även sabotage-attacker som exempelvis DoS-attacker. För att undersöka möjligheterna för sådana attacker gjordes en DoS-attack och en ordboksattack efter arbetstid för att inte störa verksamheten. I attackerna, som utfördes både trådlöst och trådat, användes en ASUS K55D 2.5 GHz i5 CPU 8 GB RAM. Attacken påbörjades genom att köra två script. Dessa script har som uppgift att ge inträngaren ett användarnamn till servern. Scripten levererade dock endast ett användarnamn i taget och själva processen gick ganska långsamt, istället användes ett grafiskt program. Programmet levererade en komplett lista med alla användarnamn som finns på servern. Listan sparades som en textfil för att vidare kunna användas i en attack. 38

47 Tanken var att skapa lösenordslistor enligt metoden i kapitel 5.1. Men istället gissades det först på enstaka lösenord för att undersöka om det mest uppenbara stämmer, lösenordet som testades var till administrator-kontot. För att ta det ett steg längre loggades det in på servern med hjälp av en fjärranslutning. Fjärranslutningen gav samma access till servern som om användare funnits fysiskt på plats. När det var klart påbörjades en DoS-attack. Listan med alla användarnamn som hämtades tidigare matades in i ett program. Programmet kunde därefter själv generera mängder med lösenord för en DoS-attack. 60 uppkopplingar i sekunden valdes och lösenorden som skulle slumpas fram var av karaktären 6-15 tecken och bestod av alla tecken som finns med i ASCII-tabellen. För varje användare i användarlistan provade programmet alla dessa lösenordskombinationer. När programmet sattes igång kördes programmet Wireshark vid sidan av för att säkerställa att attacken verkligen var igång Resultat Gissningen på de mest uppenbara lösenorden i första attacken gav resultat. Lösenordet var så pass enkelt att första försöket lyckades. Den gav access till hela servern med alla filer till alla användare. Då det dessutom var administrator-kontot som var inloggat så fanns det inga begränsningar i vad som kunde göras. Teoretiskt sett hade en inträngare kunnat ta bort allting som finns. Det finns backup till servern som är i form av externa hårddiskar, men när en inloggning har gjorts men en fjärranslutning är det enkelt att tömma dessa med. DoS-attacken gick som planerat, det fanns ingen skydd gentemot antalet uppkopplingar eller antal misslyckade inloggningsförsök. Dock var servern för bra för att en enda dator ska kunna dra ner den, men hade fler datorer attackerat, som i en DDoS-attack, hade det varit fullt möjligt. Det kunde ses i Wireshark hur många paket som skickades fram och tillbaka. I paketen kunde det dessutom utläsas att inloggningen hade misslyckats gällande vilket användarnamn och lösenord som beprövades. Allting stod i klartext, det gjorde även det riktiga användarnamnet och lösenordet vid en autentisk inloggning, när TCP-strömmen sedan följdes kunde det utläsas "Logged on". 39

48 5.4 VPN-tunnlar Mellan alla tre anläggningar som är kopplade via ett WAN finns det VPN-tunnlar. Dessa VPN-tunnlar är konfigurerade på så sätt att de möjliggör en säker kommunikation mellan anläggningarna med hjälp av protokollet PPTP. För att säkerställa att säkerhetsfunktionerna som lästes i routrarnas konfigurationsfiler verkligen fungerar som det är tänkt att de ska göra så utfördes precis som i kapitel 5.3, en Man in the middle-attack. Resultatet visade sig vara samma som i kapitel 5.3. För att en användare ska kunna koppla upp sig mot företagets nätverk och komma åt nödvändiga program och filer som till exempel mail, används en VPN-tunnel. Varje anställd som har en laptop har även en VPN-tunnel installerad på datorn. Vid en anslutning upprättas en tunnel mellan användarens dator och routern i Upplands Väsby. För en anslutning via tunneln krävs autentisering och det sker med hjälp av ett lösenord. Lösenordet går inte att spara så att tunneln ansluts per automatik varje gång en en användare startar datorn. Tunneln är konfigurerad med följande säkerhetsmekanismer: PPTP Point-To-Point Tunneling protocol Kryptering av data som ska skickas över tunneln CHAP challenge handshake authentication protocol MS-CHAP v2 med stöd för EAP Metod Informationen om VPN-tunneln kunde avläsas genom att titta på en installerad VPN-anslutning. För att säkerställa att all säkerhet fungerar som det är tänkt gjordes två tester. Första testet bestod av en "spoofing"-attack. En uppkoppling upprättades genom VPN-tunneln samtidigt som programmet Wireshark var igång och sparade alla datapaket som utbyttes. Wireshark ställdes in med hjälp av ett filter så att endast paket tillhörande VPN-uppkopplingen visades. Vidare undersöktes paketen för att hitta data som kan vara nyttig för en inträngare. 40

49 För att ta det ett steg längre gjordes ett andra test som var betydligt mer avancerat. Testet bestod av en Man in the middle-attack. All trafik till eller ifrån datorn med VPN-anslutningen passerade via en annan dator där Linux med BackTrack 5 var installerad. Trafiken analyserades och försök till dekryptering gjordes med hjälp av programmen Ettercap och SSLStrip. Under båda testen användes VPN-tunneln på alla sätt som den var tänkt för som exempelvis uppkoppling till servrar och mejlutväxling. Dessutom avbröts anslutningen flera gånger för att sedan koppla upp sig och mata in lösenordet igen Resultat I spoofing-testet kunde ingen information utläsas av paketen som Wireshark sparade. Det gick att se paket som utväxlades men paketen var krypterade och obegripliga. Andra testet visade samma resultat som det första, varken Ettercap eller SSLStrip kunde visa nyttig data som till exempel lösenord eller meddelanden som skickades genom VPN-tunneln. Allt som syntes var liksom första testet bara krypterad obegriplig data. 5.5 Gästnätverk För att kunder ska kunna koppla upp sig på anläggningarna och surfa kostnadsfritt utan att kunna komma åt det interna nätverket byggdes ett nytt nätverk upp. Detta gjordes med en ny publik IP-adress till alla tre nätverk på respektive anläggning. Detta var möjligt då alla anläggningar hade outnyttjade publika IP-adresser. Respektive ISP kontaktades för att konfigurera hårdvaran som finns i respektive anläggning så att ett interface kunde leverera den önskade publika IP-adressen. För att flera personer ska kunna koppla upp sig trådlöst samtidigt och surfa var NAPT ett måste. Den hårdvaran som redan fanns hade inte stöd för NAPT, dessutom behövdes den till det interna nätet. Därför införskaffades tre stycken routrar med NAPT funktion och med inbyggd trådlös accesspunkt. Det installerades en router per anläggning. Då dessa routrar endast finns för kunderna som är där under arbetstid konfigurerades 41

50 dessa så att de endast är aktiva enligt ett tidsschema. Routrarna placerades på ett strategiskt ställe så att signalen var som starkast där kunderna oftast befinner sig och svagast utanför anlääggningen. För en komplett bild över nätverkstopologin efter denna implementering, se bilaga Phishing För att få en bild av hur uppmärksamma de anställda är, och för att få en tydligare bild över hur IT-säkerheten ser ut på företaget gjordes ett klassikt bedrägeritest. Testet gick ut på att de anställda fick ett mejl där syftet var att komma åt deras inloggningsuppgifter. Detta test anses vara det bästa sättet för att få veta hur uppmärksamma de anställda är, som Pär Lindqvist i sitt examensarbete Nätverkssäkerhet - Studie av verktyg för testning av säkerhet (juni 2012) beskriver. Testet avsåg att efterlikna en känd inloggningssida vid namn Infotorg. Infotorg är ett verktyg som alla bilhandlare använder sig av för att få information om bilar genom registreringsnumret. Tjänsten är en betaltjänst och företaget debiteras avtalad avgift vid varje sökning. Det är dessutom en tjänst som endast företag inom bilbranschen kan teckna. Därav har en inträngare stort intresse av att få tillgång till konton. Ett mejl (se bilaga 4 för HTML-kod) skickades ut till de personer som kan tänkas ha ett Infotorgkonto. Dessa personer listades ut genom att titta på företagets hemsida och titlarna som de anställda har. Totalt skickades mejlet ut till 17 personer. Mejlet bestod av en förklarande text som påstår att lösenordet till kontot behöver bytas på grund av en systemuppdatering. Texten kopierades från Infotorgs hemsida för att anställda som har läst den innan ska känna igen den. Högst upp i mejlet klistrades Infotorgs logga in för att det ska se så trovärdigt ut som möjligt. Mejlet skickades ut från en.se domän precis som riktiga Infotorg, dock hette domänen lnfotorg. Det vill säga ett l i gemen form istället för ett i, detta valdes då det var det mest liknande namnet som var ledigt. Mejlet hänvisade till en länk där själva lösenordsbytet skedde. Länken var en webbsida där användaren ombads att mata in sitt användarnamn, sitt gamla lösenord och det nya lösenordet. När användaren har fyllt i alla fält och tryckt på byt lösenord dök en ny sida upp. Detta var en ny webbsida som talade om att detta endast var ett test och att lösenordet inte hade ändrats. Det stod även att lösenordet inte har sparats eller skickats till någon och att detta test inte kan 42

51 knytas till en person utan gjordes endast för undersökningssyfte. För att kunna få statistik om hur många som har fyllt i sina användaruppgifter implementerades en räknare i den sidan som användaren länkades till när knappen byt lösenord hade tryckts. Båda webbsidorna lades upp på en annan domän än lnfotorg.se. Webbsidorna lades upp på gratisdomänen.n.u och detta för att de anställda ska få en chans att upptäcka att detta inte kommer från infotorg. lnfotorg.se ansågs vara lite väl lik för ett otränat öga och kan ge missvisande resultat Resultat Resultatet av testet blev att ungefär 40% av de personer som fick mejlet gick in på den bifogade länken och bytte sitt lösenord. När personalen sedan tillfrågades om de fått ett mail från Infotorg blev många tveksamma eller svarade ja men att de ännu inte hunnit byta sitt lösenord. 5.7 USB-test För att förstå hur insatta de anställda är i IT-säkerhetsfrågor och för att förstå hur deras beteende är kring IT-säkerhet gjordes ett test. Testet gick ut på att vid ett möte placera en skål med USB-kortläsare som liknade USB-minnen. USB-kortläsarna var helt omärkta och ingen visste vem det var som placerat dessa där. Mötet var ett så kallat säljmöte där 15 personer befann sig, därbland en stor del av cheferna på företaget och även säljledarna. Testets syfte var att undersöka hur många av dessa som tog USB-kortläsaren, stoppade in den i sin arbetsdator och trodde att det var ett standard USB-minne. Att det valdes USB-kortläsare och inte USB-minnen var på grund av kostnaden USB-minnen skulle medföra. För att få veta hur många personer det var som matade in USB-kortläsaren i sin arbetsdator frågades personalen två dagar efter mötet. Det noterades exakt vilka som var på mötet. Anledningen till att förfrågningen kom två dagar efter var för att alla kanske inte hade hunnit använda den strax efter mötet. 43

52 5.7.1 Resultat Det visade sig att hälften av de personer som tog ett exemplar av USB-kortläsaren har matat in den i arbetsdatorn eller kommer inom snar framtid att göra det. Resterande svarade att de inte har ett behov av att göra det men skulle behålla den och använda den för framtida bruk. Med framtida bruk menades snabb förflyttning mellan datorerna. 5.8 Lokalt administratorkonto Ett test utfördes för att undersöka säkerheten på varje dator lokalt. Testet gick ut på att utvärdera svårighetsgraden för en inträngare att komma åt lokala dokument som finns sparade på datorn. För att utföra detta användes gissningsmetoden. Resultatet visade att alla datorer hade ett väldigt osäkert administratorkonto som saknde ett lösenord. Användarnamnet till kontot var väldigt lättgissat även om det hade ändrats. 44

53 6. Analys och rekommendationer Detta kapitel analyserar resultat på tester som har utförts i kapitel 5. Dessutom beskrivs rekommendationer och förbättringsförslag som antingen har implementerats eller som företaget kan implementera i framtiden. 6.1 Skydd mot DoS/DDoS-attacker En DoS-attack kan leda till att väsentlig mängd pengar går förlorat. Förlusterna kan ligga i att en viss nätverkstjänst, exempelvis en mejl-server eller diverse databaser blir okontaktbara vilket kan förhindra de anställda i ett företag att utföra sitt arbete. Det kan vara svårt för ett företag att skydda sig mot DoS/DDosS-attacker. Det som kan göras för att förhindra att en server krashar vid en eventuell DoS-attack är att konfigurera servern till att koppla ner sig själv om en och samma användare kopplar upp sig mot den ett visst antal gånger inom ett visst tidsintervall. Vad som även kan göras för att förhindra att en server krashar är s.k. load balancing, och kanske det allra viktigaste, att ha ett IPS (Intrusion Prevention System) som kan både aktivt agera och blockera skadlig aktivitet och även skicka ut alarm till administratören vid misstänksam aktivitet. 6.2 VPN Den VPN-teknik som idag används i företaget är PPTP. PPTP är en enkelt och snabb teknik som kräver lite konfiguration men är dock gammal och ganska osäker. Den har ingen inbyggd integritetskontroll-mekanism eller verifiering av datapaketens ursprung. PPTP använder sig av 128-bitars kryptering. Ett bättre alternativ är L2TP då L2TP i kombination med IPsec kan ge en hög säkerhet på VPN-tunnlarna genom att exempelvis använda 256-bitars AES-kryptering. L2TP fungerar även väldigt bra på instabila Internet-anslutningar vilket är viktigt för de anställda. IPsec är ett mångsidigt protokoll och flera av NIST (National Institute of Standards and Technology) rekommenderade säkerhetsmekanismer kan implementeras, bland annat autentisering, kryptering, integritetskontroll och skydd mot replay-attacker. IPsec har dock ett fåtal nackdelar vilka bland annat 45

54 är prestanda och komplexitet. L2TP/IPsec kräver mer processorkraft än vad PPTP gör och vad gäller konfigurationen av IPsec är även den mer komplicerad än andra metoder. Detta leder till att absolut inga misstag får göras vid konfigurering då det kan leda till brister i nätverket och svaga VPN-tunnlar. Enligt testerna som utfördes i kapitel kunde ingen data som passerar VPN-tunneln utläsas. Detta trots att företaget i dagsläget använder sig av PPTP. Dock anses främsta orsaken vara tidbrist under intrångsförsöket. Det rekommenderas därför starkt att företaget i förebyggande syfte går över till L2TP med IPsec. Den minimala prestanda skillnaden som bytet kommer att medföra anses vara försumbar för användarna Kryptering Företaget använder idag DES för kryptering av data i VPN-tunnlarna. DES i egenskap av symmetrisk krypteringsalgoritm - är att föredra över asymmetrisk kryptering vad gäller hastighet då symmetrisk kryptering är ca 1000 gånger snabbare. [10] Men sett ur ett säkerhetsperspektiv har DES länge ansetts vara en gammal, svag och osäker krypteringsteknik då den går att knäcka med Brute force-attacker. [11] Det finns vissa enstaka fall då DES är ett legitimt alternativ, exempelvis när det är nödvändigt för bakåtkompatibilitet, men sett ur ett säkerhetsperspektiv bör tekniken undvikas i allra högsta grad. Istället bör företag och andra användare sträva efter att implementera AES (Advanced Encryption Standard) i sin mjuk- och hårdvara. I en undersökning gjord av Sohail Hirani (Pittsburgh, 2003) [12] visade det sig att bland de tre krypteringsmetoderna DES, 3DES och AES så är den sistnämnda den säkraste och effektivaste metoden. De routrar och servrar som används i företaget har alla stöd för AES, och det finns inga giltiga skäl till att inte använda sig av AES istället för dagens DES. Rekommenderat är alltså att övergå till AES - inte bara ur ett säkerhetsperpektiv - utan även med avseende på hastighet och effektivitet. De anställda kan idag endast koppla upp sig utanför nätverket mot servrarna via en PC, men i och med AES får företaget möjlighet att i framtiden låta anställda ansluta till servrarna via en VPN-klient i sina mobiltelefoner. AES är så 46

55 pass effektiv vad gäller användande av proccesorkraft och utnyttjande av RAM-minne att den fungerar i mobiltelefoner. [13] Signering MD5 är den HASH-funktion som idag används för signering i VPN-tunnlarna. MD5 har visat sig vara sårbar för s.k. kollisions-attacker och bör därför om möjlighet finns bytas ut mot starkare funktioner som exempelvis SHA-1 eller SHA256. Då routrarna som används idag inte stöder SHA256 bör SHA-1 implementeras i VPN-tunnlarna. SHA-1 anses vara kryptografiskt starkare, dock på bekostnad av att algoritmen kräver mer processorkraft för att exekverera. [14] NIST (National Institute of Standards and Technology) har i en publicerad rapport skrivit att fram till och med år 2031 är det säkert att använda SHA-1 i sin implementering. I grund och botten skiljer sig inte de två funktionerna från varandra så mycket, men om möjligheten finns i ens system att använda sig av SHA-1 så finns det ingen anledning att använda MD5. Dock måste det fortfarande finnas någon typ av kryptering exempelvis SSL eller IPsec för att skydda informationen. Det anses inte vara väldigt brådskande med att gå över till SHA-1, dock bör detta alternativ ses över för framtida implementationer Autentisering Som tidigare konstaterats används MS-CHAPv2 vid autentisering i VPN-tunnlarna. I och med att MS-CHAPv2 inte längre är ett säkert alternativ och kan knäckas med ordboksattacker har Microsoft i ett uttalande informerat om att för att säkra VPN-tunnlar som använder kombinationen PPTP/MS-CHAPv2 så bör tillägget EAP användas. [15, 16] Företaget har löst problemet med osäker autentisering genom att implementera EAP med stöd för PEAP vilket idag anses vara ett säkert alternativ. 47

56 6.3 Lösenord och konton Det har kunnat konstateras att det är väldigt lätt att utifrån lösenordslistor och rena gissningar få fram rätt lösenord till servrarna och de trådlösa nätverken. Endast genom att bilda listor innehållandes företagsnamnet Peugeot/JBil och kombinera dessa med tre slumpvis utvalada teckenkombinationer som genereras fram, kunna knäcka lösenorden på ett enkelt sätt. Som underlag finns en mer detaljerad beskrivning under punkt 5.1 och 5.3. Det ansågs vara högst relevant att byta samtliga lösenord snarast, vilket även cheferna höll med om. Därför byttes alla lösenord och de nya brändes på en CD-skiva som överlämnades fysiskt till en av cheferna. En kopia av skivan lämnades även till TopScore så att de senare kan fortsätta underhålla nätverket utifrån de riktlinjer som har valts. För att undvika att företaget hamnar i en liknande situation igen där svaga lösenord väljs skrevs krav på lösenord ner. Kraven överlämnades till TopScore och cheferna på företaget. Det är även den data-ansvariges ansvar på varje anläggning att undersöka alla nya lösenord som väljs innan dokumentation, mer om detta i kapitel 6.2. Ifall kraven är uppfyllda anses lösenorden vara säkra och därmed har IT-säkerheten på hela företaget lyfts ett steg i rätt riktning. Tester på huruvida lösenorden till routrarna är säkra eller inte gjordes inte, dock upptäcktes det att även dessa lösenord är svaga. Förslag om ändring av lösenord har meddelats cheferna på företaget och dessa får nu fatta beslut om vad som skall göras. Det har även upptäckts en säkerhetslucka i de anställdas jobbdatorer. När en anställd vill komma åt sina mappar och filer loggar personen i fråga in på sin dator med ett personligt användarnnamn och lösenord. Förutom denna inloggning finns det även möjlighet att logga in via ett administrator-konto och komma åt datorns hårddisk. I och med det fås det tillgång till den anställdes alla filer och mappar. Denna inloggningsmöjlighet visade sig finnas på alla anställdas datorer inklusive chefernas datorer. Användarnamnet och lösenordet är nästan densamma eller liknande på alla datorer. Dessa användarnamn och lösenord visade sig vara väldigt svaga och samtliga användarnamn och lösenord för administratorkontot bör ändras och sättas unikt för varje dator. 48

57 6.3.1 Gamla konton Gamla och inaktiva användarkonton kan innebära en säkerhetsrisk för företaget. Ett gammalt användarkonto kan exempelvis bestå av ett svagt användarnamn och lösenord som är enkelt att knäcka, speciellt om konton har varit ett testkonto med lösenord som satts till 123abc eller liknande. Gamla inaktiva konton bör snarast identifieras och tas bort, risken finns annars att inaktiva konton hackas och utnyttjas för att få obehörig åtkomst till känsliga företagsuppgifter. För framtida implemeteringar kan ett förslag vara att endast ge dessa anställda behörigheter att komma åt de mappar och tjänster som de är i behov av för att utföra sitt dagliga arbete Gamla datorer I intervjun (se kapitel 4.2) som genomfördes var det endast en person som svarade att denne vet vad som händer med den gamla datorn när den byts ut. I och med att känslig data finns kvar på datorerna kan obehöriga komma åt den när dessa datorer kasseras, tas hem eller läggs undan i företagets förråd. Det finns inget system eller en policy för hur gamla datorer ska hanteras och ingen kan därför stå till svars för om hemlig information skulle läcka ut. För att inte ägarlösa datorer ska hamna i obehöriga händer så märktes datorerna genom att registrera varje dators serienummer i en excel-fil och binda dessa till respektive ägare. De anställda fick skriva på ett kontrakt där de förbinder sig att låna aktuell dator med tillhörande serienummer under de villkor att de ansvarar för den, från att de övertar datorn till att de returnerar den till företaget. I och med det ska en dator inte kunna försvinna eller vara ägarlös utan varje enskild anställd måste nu ta ansvar över den dator som denne lånar eller att den har blivit returnerad till företaget som då har ansvaret över datorn. De datorer som inte är personliga, exempelvis verkstadsdatorerna ska verkstadschefen på varje anläggning ansvara för. Detta för att dessa inte ska glömmas bort och inte ha någon som ansvarar för dem. Vid utbyte och kassering av gamla datorer skall följande steg genomgås. 49

58 1. En anställd får sin nya dator inkopplad och all data från den gamla kopieras över. 2. Personen i fråga skriver på ett nytt kontrakt för den nya datorn. 3. Den ansvarige på respektive anläggning tar emot det nya kontraktet samt lämnar tillbaka det gamla kontraktet till personen som har fått sin dator utbytt. 4. Den ansvarige lämnar ifrån sig datorn till en person vars uppgift är att tömma datorn och sedan kassera den Phishing Phishing handlar om att sätta upp en sida som liknar en autentisk sida i syfte att samla in exempelvis användarnamn, lösenord eller mejladresser. Det främsta sättet att förhindra attacker via phishing är kunskap. Personalen bör utbildas om dessa typer av attacker och hur de kan lära sig att känna igen dem. De bör även informeras om olika typer av hot och hur de ofta förs in i nätverket. Personalen bör informeras om att ett mejl liknande phishingmejl inte bara behöver betyda att någon stjäl inloggningsuppgifter utan det kan mycket väl vara en skadlig länk som laddar ner virus och annan skadlig kod till datorn som på sikt kan infektera hela nätverket och det räcker med att en enda person trycker på en länk i ett mejl för att det ska leda till förödande konsekvenser för hela företaget. Därför är bland annat en IT-policy viktig för ett företag för att undvika att anställda av misstag sätter företaget i fara. Det är även viktigt att säkerställa att de anställda tar del av IT-policyn och att de förstår innehållet. I efter hand upptäcktes det att en räknare bör ha implementerats även på första sidan som det länkas till. Detta för att kunna undersöka hur många som tryckte på länken men upptäckte sedan att det var bedrägeri och inte matade in sina uppgifter. 50

59 6.3.4 Kryptering av lokalt skapat data Under examensarbete har det uppmärksammats att chefer och personer som har högre positioner inom företaget oftast har viktiga och känsliga dokument. Vidare när det undersöktes hur de sparar dokumenten visade det sig att de sparar dokumenten lokalt på datorn. Anledningen är att de anser att de effektiviserar arbetet på det sättet, då ett dokument som sparas på servern tar mycket längre tid att öppna och sedan spara och stänga ner. Att de dokumenten är personliga och inte behöver flyttas runt mellan datorer var en annan motivering till varför de sparas lokalt på datorn. Som det tidigare har nämnts så har varje dator ett administrator-konto med ett väldigt osäkert och lättgissat lösenord. Efter undersökning visade det sig även att lösenord för lokal inloggning på en dator som kör Microsoft Windows är väldigt enkelt att knäcka. Detta innebär en stor säkerhetsrisk för företaget ifall en dator skulle bli stulen eller hamna i fel händer. Dessutom tas det ingen backup på de dokumenten som fanns sparade lokalt på datorerna. Alla chefer som detta gäller använder sig av laptop, det innebär att risken för mänskliga misstag som till exempel tappa datorn eller spilla kaffe på den är stor. Cheferna tillfrågades vad det skulle innebära för företaget ifall ens dator blev stulen eller gick sönder, ett svar i form av citat "Det skulle innebära katastrofala följder". Det är egentligen två problem som behöver lösas. Dels behöver alla viktiga dokument krypteras på ett säkert sätt och dels behöver problemet med backupen lösas. För att lösa problemet med risken att datorn hamnar i fel händer användes ett starkt krypteringsprogram. Programmet allokerar ett visst område av hårddisken, för att kunna komma in på det utrymmet krävs ett lösenord. Självklart valdes ett starkt lösenord enligt de krav som har skrivits i IT-policyn. Dessutom införskaffades en extern hårddisk som även krypterades med ett program så att ingen obehörig kan komma in i den och läsa dokumenten. Tanken är att cheferna ska ta backup på de lokala dokumenten på den hårddisken för att eliminera risken att förlora viktiga dokument. Hårddisken förvaras i ett låst kassaskåp som bara cheferna har tillgång till. Programmet som används för krypteringen måste vara installerad på datorn för att det ska gå att öppna den externa hårddisken. Av säkerhetsskäl hålls namnet på programmet hemligt för de övriga anställda. Som ett alernativ till detta kan en krypterad backup server införskaffas, servern ska ha mycket högre säkerhet än de servrar som finns på plats idag. Det skulle 51

60 underlätta backup processen för cheferna och minska rinsken att på grund av tid brist och den relativt tidskrävande processen med den externa hårddisken inte ta backup tillräckligt ofta. Backup processen med den externa hårddisken anses vara tidskrävande då en person som vill ta backup måste ägna tid åt att hämta hårddisken, dekryptera och sedan dessutom vänta på kopieringen. 6.4 Social säkerhet Efter utvärderingen av den sociala säkerheten och intervjun med personalen ansågs det precis som förväntat nödvändigt att hålla en föreläsning för de anställda. Syftet med föreläsningen var att hjälpa personalen med deras svaga punkter, men även allmänna frågor kring examensarbetet togs upp. Centrala punkter som togs upp under föreläsningen var: Vad har examensarbetet gått ut på? Hur den tekniska säkerheten ser ut - Mellan anläggningarna - Mot interna och externa attacker Observation på personalen och varför den gjordes Hur lösenord hanterades innan examensarbetet Hur lösenord ska hanteras idag och varför Hur lösenord ska väljas Varför det är viktigt med säkra lösenord Phishing Testet med USB-kortläsare Förbättringar som har implementerats eller kommer att implementeras och varför CIA-modellen och vad den innebär - Hur det var innan examensarbetet påbörjades - Hur det är idag Föreläsningen påbörjades med att förklara för personalen vad examensarbetet har gått ut på och i grova drag vad som har gjorts. Detta då de under tiden har varit nyfikna och ställt frågor. Examensarbetet utfördes till största del framför en dator och det gjordes få fysiskt kännbara tester vilket ökade nyfikenheten hos personalen. Hur den tekniska säkerheten såg ut innan förbättringarna implementerades och hur den ser ut idag gicks igenom för att ge personalen en bild över de brister som fanns och för att de även nu kan känna sig trygga med 52

61 IT-säkerheten. Det anses vara positivt att de anställda förstår vilka åtgärder företaget har vidtagit mot eventuella attacker och tänkt till gällande nätverkets uppbyggnad. Observationen på personalen var en känslig punkt då vissa kan känna sig obekväma med situationen. Det förklarades varför den var nödvändigt och hur resultat från observationen har lett till att IT-säkerheten har lyfts ett steg i rätt riktning. Det förklarades även ytterligare en gång att personalen har haft skyddat integritet och inga resultat kan nu i efterhand knytas till enskilda personer, utan endast användas som underlag i utbildning- och förbättringssyfte. Observationen visade exempelvis att väldigt få låser sin dator när de lämnar den. Därför gicks det igenom vad säkerhetsriskerna med en olåst dator är och hur personalen på ett enkelt sätt med kortkommandot Start + L kan låsa sin dator. Hur lösenord hanterades visade sig tydligt under observationen och det var inte svårt att få tillgång till lösenord. Lösenord fanns klistrade på skärmar som kunderna lätt kunde läsa av. Det förklarades varför det inte bör se ut på det sättet och vad det kan leda till på sikt, det gavs även förslag på vad personalen kan göra istället för att klistra fast lappar på skärmen. Det första som gicks igenom var hur lösenord ska väljas. Väljs ett lösenord utifrån rekommenderad metod kan problemet med att behöva skriva ner det elimineras. Det gavs tips på vad rätt metod kan vara (se kapitel 3.6). Det togs även hänsyn till att det kan ta tid att ändra på sina lösenordsvanor, därför gavs det tips på hur lösenord på ett säkrare sätt än idag kan sparas för att sakta men säkert eliminera nedskrivningen av lösenord. Framför allt gicks det igenom varför lösenord bör hanteras med varsamhet och vad konsekvenserna kan bli om ämnet inte tas på allvar. Även varför ett lösenord ska se ut på ett visst sätt med rätt antal tecken och vara en kombination mellan olika tecken gicks igenom. Det gavs även konkreta exempel för att förklara vikten av ett säkert lösenord. Detta då personalen ansåg det vara besvärligt med att välja ett säkert lösenord och många resonerade i banorna att det inte spelade någon roll då ingen attack mot företaget har skett. Exemplet: "Hur många här inne skulle lämna sin bilnyckel i låset på bilen som är parkerad på personalparkeringen som ändå är lite isolerad från alla kunder? fick många att tänka om och börja förstå varför lösenord är en central del i IT-säkerheten. Hur ofta ett lösenord bör bytas är ett ämne som diskuteras frekvent. I IT-policyn skrevs det att lösenordet ska bytas var 60:e dag då det är det ultimata intervallet. Efter vidare tanke och mer forskning insågs det dock att detta kan komma att ge negativ effekt. Om lösenordet byts för ofta ökar risken för att personalen spara det på ett osäkert sätt vilket vill undvikas. Idag kräver systemet att lösenordet byts var 90:e dag. Enligt chefen var bytesintervallen mycket tätare tidigare vilket gav negativt resultat, detta utrycktes som "jobbigt" och "onödigt" bland 53

62 personalen. Därför meddelades det att det inte kommer att ske en förändring och 90 dagar är det som kommer fortsätta att gälla. Personalen uppmanades till att byta lösenord var 60:e dag även om systemet inte kräver det. För att komplettera personalens kunskap i hur de kan skydda sig och hur de ska bli bättre på att upptäcka intrångsförsök vid tidigt stadium togs phishing- och USB-testet upp. Alla som satt på föreläsningen hade inte blivit utsatta för testerna därför förklarades det kortfattat vad dessa gick ut på. Personalen utbildades i hur de kan tänka om de utsätts för liknande situationer och även tips på hur de på ett enkelt sätt kan upptäcka intrångsförsök. I fallet med phishingtestet visades konkreta brister i mailet som hade skickats ut. Resultat över antalet personer som inte upptäckte bedrägeriförsöket presenterades anonymt. Phishingtestet gjordes för att få en bild över hur svårt det var för personalen att urskilja bedrägeriförsök från övriga e-postmeddelanden. Även testet med USB-kortläsare presenterades, och det förklarades att det var tänkt att placera skålen på kunddisken, då det är möjligt för en inträngare att placera en skål med USB-minnen där. Men begränsningen låg i resurserna. Tanken bakom testet förklarades och även varför det kan vara farligt med okända USB-minnen Detta test gjordes i förebyggande syfte då det inte observerades att personal använder sig av USB-minnen för att förflytta data mellan datorerna. Men observationstiden var för kort för att säkerställa detta och med intervjun som underlag verkade inte personalen vara medvetna om hur farligt ett USB-minne kan vara. Med resultatet (se kapitel 5.7) som underlag bekräftades detta. Ett par centrala förbättringsförslag som antingen redan har blivit implementerade eller kommer att implementeras togs upp, dessa var: IT-policy. Det förklarades för personalen varför en IT-policy skrivits och de regler och riktlinjer som som skrivits finns för att skydda de anställda och hjälpa dem i deras vardagliga arbete. En IT-policy skrevs då det inte fanns någon, dessutom svarade 71% av de intervjuade (se kapitel 4.2) att de aldrig har blivit informerade om hur de ska använda en arbetsdator. Det är viktigt att personalen får veta vad som är tillåtet och inte då enkla misstag kan leda till katastrofala följder. Märkning av datorer. Varje dator ska ha en ägare. Det förklarades att det är viktigt att företaget har koll på hur många datorer som finns och även vem som är ansvarig för respektive dator. Denna regel infördes då företaget inte hade någon dokumentation över de befintliga datorerna. Om en gammal dator som inte längre används försvinner skulle ingen reagera eller märka av att den försvunnit. 54

63 En anställd på varje anläggning ska ansvara för IT-frågorna. Personal som behöver få utrustning installerad eller har förbättringsförslag på utrustning som kan underlätta det dagliga arbetet ska vända sig till den ansvarige. Detta infördes för att få en bättre kontroll över den utrustning som installeras, varje ny hård- eller mjukvara måste vara väl motiverad och undersökts att den inte skapar en säkerhetslucka. Ett exempel som uppmärksammades i samband med detta var de trådlösa accesspunkterna. Accesspunkterna hade installerats på ett ostuderat och farligt sätt vilket kunde ha gett väldigt negativa konsekvenser. Tanken med dessa accesspunkter var att kunderna skulle få surfa medan de befann sig i någon av anläggningarna. Som det beskrevs i kapitel 5.1 var accesspunkterna oisolerade från det interna nätverket vilket skapade en väldigt stor säkerhetslucka. Detta tyder på att beställningen av jobbet och även själva installationen inte var genomtänkt. Efter att varje anläggning har utsett en ansvarig person kan denne i sin tur kan ta hjälp av kunniga personer inom ämnet och förhoppningsvis kan liknande fall undvikas. Förutom de accesspunkter som hade blivit installerade fanns det även gamla accesspunkter som var inkopplade på det interna nätverket. Dessa var konfigurerade med svaga lösenord och skapade en säkerhetslucka i nätverket, därför plockades dessa ner. Signalen från de nya accesspunkterna var tillräckligt stark för att täcka alla önskade områden. Den nya lösningen som har installerats presenterades för personalen och även motivet bakom. Hur och varför de trådlösa accesspunkterna ska användas förklarades. Exempelvis mobiltelefoner som inte behöver vara uppkopplade mot det interna nätverket ska kopplas mot gästnätverket för att minska belastningen på det interna nätverket. Vidare förklarades det för personalen att den ansvariga personen som kommer att utses på varje anläggning kommer att få nyckeln till serverrummet samt alla inloggningsuppgifter till servrarna, routrarna och kringutrustningen. Om någon behöver komma in i dessa rum eller behöver inloggningsuppgifter ska den ansvariga personen kontaktas och en rimlig orsak ska presenteras. Detta för att begränsa tillgången till servrarna och även till inloggningsuppgifterna, de övriga anställda har inget behov av att ha tillgång till varken lösenord eller servrar. Det underlättar även vid spårning av eventuell skadegörelse eller läckage av hemlig information. Det finns dock ett problem som endast gäller en av anläggningarna. Anläggningen i Täby har inget separat rum där datautrustningen står utan är placerad i en korridor på övervåningen. Det är sällan andra 55

64 personer än de anställda som vistas i det området men detta bör ändå ses över. Framför allt behöver riktiga hyllor monteras så att utrustningen kan arrangeras på ett säkert sätt. Så som det ser ut nu ligger all utrustning på ett litet bord. Det leder till att risken för att någon av misstag ska råka gå förbi och få utrusningen att falla är stor. Dessutom blir en felsökning väldigt komplicerad då inga kablar är märkta eller ligger i ordning. Att bara trassla ut alla kablar skulle ta väldigt lång tid. Lås av utrusning anses komma i andra hand just nu då det är mest brådskande med att ställa utrustningen på ett ordentligt sätt. Föreläsningen avslutades med en förklaring av vad CIA-modellen är och hur den kan användas för att mäta ett företags säkerhetsnivå. Tre bilder visades: den första visade vad företaget hade för nivå på säkerheten innan examensarbetet påbörjades; den andra bilden visade hur det ser ut idag efter att examensarbetet har utförts; och den sista bilden visade en vision som företaget bör sträva efter. Det meddelades även att förbättringsförslag för att nå dit har överlämnats till chefen. 6.5 Gästnätverk För att leverera en lösning som kan ge trådlöst internet till kunderna utan att de får tillgång till det interna nätverket fanns tre alternativ: 1. Skapa brandväggsregler som endast tillåter surf genom den trådlösa accesspunkten. 2. Skapa ett VLAN och koppla accesspunkterna till det nätverket. 3. Skapa ett nytt nätverk med publik IP-adress och koppla den trådlösa accesspunkten till det nätverket. Alla tre lösningar har sina för- och nackdelar. En utförlig undersökning av alla tre alternativ visade att första alternativet skulle vara opassande att implementera då kunderna exempelvis vill ha tillgång till sin mail, eller eventuellt komma åt andra tjänster som behöver mer än port 80 för att fungera. Att skapa en brandvägg som är säker samtidigt som den inte begränsar kunderna i deras datoranvändning ansågs vara väldigt svår att åstadkomma. Därför ansågs det första alternativet vara olämpligt. Alternativ nummer två och tre är lika tekniskt sätt då båda bygger på att kunderna få ett eget nätverk. Skillnaden är att i alternativ nummer två är nätverket virtuellt. I båda fallen behövdes dubbla accesspunkter på varje anläggning då även de anställda ska ha 56

65 möjlighet till att trådlöst koppla upp sig mot företagets interna nätverk. Alternativ nummer tre har dock fördelen att kunderna inte belastar det interna nätverket när de kopplar upp sig. Det har under examensarbetets gång förekommit klagomål på att nätverket kan vara långsamt ibland vid hög belastning. Därför valdes alternativ nummer tre. Dessutom kan de anställda som har en VPN-klient koppla upp sig på gästnätverket, öppna en VPN-tunnel och utföra sitt arbete. Alternativ nummer tre ansågs därmed vara en prestanda-förbättring för företagets nätverk. Lösningen kunde genomföras då företaget betalar för fem publika IP-adresser på varje anläggning men endast utnyttjar en, så lösningen medförde inga extra utgifter. För att lösningen ska fungera behövdes dock ny hårdvara i form av routrar, en på varje anläggning. Routrarna som skulle införskaffas behövde uppfylla följande krav: Routern ska kunna leverera trådlös signal. Routerns ska ha en inbyggd DHCP-server för att klara av NAT. Routern ska kunna agera som en brandvägg där regler kan skrivas in för framtida implementeringar. Routern ska ha USB-ingångar för att i framtiden eventuellt kunna erbjuda kunderna exempelvis en skrivare. Routern måste ha stöd för schemaläggning av den trådlösa signalen. Routern måste ha tillräckligt stark signal för att täcka in alla önskade områden. Routrarna som införskaffades uppfyllde ovanstående krav för alla tre anläggningar. Det var vikigt att alla tre routrar skulle vara identiska då det ansågs spara tid vid underhåll i framtiden. 57

66 58

67 7. Slutsatser Säkerheten på hårdvaran i form av servrar, routrar och annan kringutrustning anses vara dålig på företaget, det gäller alla tre anläggningar i olika grad. Anläggningen i Haninge har den bästa säkerheten förutsatt att dörren till rummet där hårdvaran är placerad hålls låst. Väsby har också ett rum som kan låsas dock finns det mer än bara datautrusning där så fler personer behöver vistas i utrymmet. Största problemet är dock att dörren till det rummet lämnas alltid olåst. Täby är minst säkert vad gäller placeringen av hårdvara. Det enda säkerheten som finns är att hårdvaran är placerad på övervåningen där det inte är lika stort flöde av icke anställda personer. När det gäller säkerheten på mjukvarunivå mellan anläggningar så anses den också var dålig. Det positiva är att det finns säkerhet och kryptering, dock är de metoder och algoritmer som används gamla och omoderna. Den sociala säkerheten anses vara den största säkerhetsluckan på företaget. Att exempelvis läsa av ett användarnamn och lösenord som är skrivet på skärmen kräver ingen kunskap alls av en inträngare, ändå kan det orsaka otroligt mycket skada. Den generella slutsatsen som kan dras gällande den sociala säkerheten är att personalen inte har blivit utbildade eller informerade om hur de ska tänka kring IT-säkerheten. Det leder i sin tur till att personalen skapar stora säkerhetsluckor utan att vara medvetna om det. Detta har lett till att vissa lösningar som till exempel de trådlösa nätverken har blivit installerade på ett felaktigt sätt. Då de anställda som det tidigare nämnts inte har fått information eller utbildning kring ämnet kan de inte beskyllas. En stor del av ansvaret åligger det konsulterade företaget som underhåller hela nätverket och allt där kring, då cheferna dessutom har förlitat sig på att företaget implementerar de bästa lösningarna som finns på marknaden idag. Men självklart har cheferna också en del av ansvaret då det är deras ansvar att kontrollera detta. Efter detta examensarbete har förbättringsförslag lämnats in för att lyfta säkerheten på företaget och dessutom har de anställda blivit utbildade och informerad dels om hur viktigt det är med säkerhet och dels hur de själva ska agera för att bidra till att säkerheten ökar. När alla förbättringsförslag är implementerade kan företaget därmed känna sig relativt trygg mot attacker och intrångsförsök. 59

68 60

69 8. Variant på genomförande Attackerna som utfördes mot servern var endast från en enda dator. Flera datorer bör ha attackerat samtidigt för att undersöka hur mycket servern klarar av. Alternativt hade TCP SYN-attacken som beskrivs i DDoS Ett evolverande fenomen, Emil Andersson, (maj 2012), kunnat användas då den inte behöver lika många angripare för att orsaka skada. Testet med USB-kortläsarna som utfördes borde ha utförts med USB-minnen istället. Företaget hade antagligen tyckt att det vad värt kostnaden då resultatet hade varit mer rättvis. Då personalen tillfrågades i efterhand blev många osäkra och kanske gav missvisande svar. Det finns webbaserade tjänster som erbjuder kontroll av säkerheten av lösenordet. Under intervjun kunde personen i fråga ha blivit uppmanad till att knappa in sitt lösenord. Detta för att få en bild över hur säkra lösenord de anställda väljer. Flera attacksförsök borde ha utförsts mot VPN-tunnlarna. Dels de tunnlar som kopplar samman anläggningarna och dels den tunneln som varje enskild laptop användare upprättar vid uppkoppling från ett annat nätverk. 61

70 62

71 9. Framtida arbeten Införskaffa en backup-server med hög säkerhet Införskaffa behörighetsbegränsningar på de befintliga servrarna så att endast cheferna exempelvis kan dela dokument med varandra utan att övriga anställda ser dessa. Aktivera loggning på brandväggarna med regler som varnar vid intrångsförsök Införskaffa en IDS som larmar och även aktivt förhindrar intrångsförsök Införskaffa antivirusprogram till alla datorer Undersöka noggrant vilka portar till servrarna som är öppna. Ändra placering av hårdvaran i Täby Övergå till IPsec med AES och SHA-1 63

72 64

73 Källförteckning [1] SANS, The Day DES Died, (juli 2001), < Verifierad [2] Microsoft Hjälp och support, VPN Tunnels GRE Protocol 47 Packet Description and Use, < Verifierad [3] Melander, Jonas, Säkerhet i trådlösa lokala nätverk, TRITA-NA-E05053, (2005) [4] Rouse, Margaret, (juni 2005), SearchCIO-Midmarket, CHAP (Challenge-Handshake Authentication Protocol), < Verifierad [5] Microsoft Windows Server, Microsoft Challenge Handshake Authentication Protocol (MS-CHAP), (januari 2005), < Verifierad [6] Leyden John, Office workers give away passwords for a cheap pen, (april 2003) < s/>, Verifierad [7] PC-TIDNINGEN, Så säkert är ditt lösenord, (juli 2012), < Verifierad [8] Skarin A., Elfström J., EXPRESSEN, Här är vanligaste och sämsta lösenordet, (oktober 2011), < Verifierad [9] Vahlberg, Marko, VD, Topscore AB , [email protected] April 2013, telefonsamtal 65

74 [10] Elminaam D., Kader H., Hadhoud M., Performance Evaluation of Symmetric Encryption Algorithms, (december 2010), < Verifierad [11] Kelly S., Security Implications of Using the Data Encryption Standard (DES), (december 2006), < Verifierad [12] Hirani, Sohail, Energy Consumption of Encryption Schemes in Wireless Devices, (april 2003), < Verifierad [13] Owano, Nancy, Apple phones are AES-tough, says forensics expert, (augusti 2012), < Verifierad [14] Mason, Andrew, IPSec Overwiew Part Three: Cryptographic Technologies, (Feb 2002), < Verifierad [15] Microsoft, Microsoft Security Advisor ( ), (Augusti 2012), < Verifierad [16] Schneier Bruce, Cryptanalysis of Microsoft s PPTP Authentication Extensions (MS-CHAPv2), (1999), < Verifierad

75 Bilagor Bilaga 1 - Intervju 1. Har du en laptop eller stationär? - Har du lösenord till själva datorn? - Är det samma lösenord till kontot? - Tar du hem laptopen? - Används den av övriga familjemedlemmar? - Lämnar du datorn i bilen synlig ifall du ska handla? 2. Kan man komma åt andra lösenord genom att vara inne på ditt konto? 3. Hur ofta byter du lösenord? - Om olika, till både datorn och kontot. 4. Hur sparar du ditt lösenord? 5. Hur många tecken är ditt lösenord på? - Om olika, till både datorn och kontot. 6. Hur många känner till ditt lösenord? - Om olika, till både datorn och kontot. 7. Har du samma lösenord till alla dina inloggningar? - privat och jobb. 67

76 8. Hur tänker du när du väljer lösenord? - Associerar du lösenordet till något eller någon du gillar? 9. Består ditt lösenord av ett ord som betyder något? 10. Hur lättgissat tror du att ditt lösenord är? 11. Har du tillgång till andras lösenord så att du kan logga in på deras konto? 12. Brukar du låsa din dator när du lämnar den? 13. Flyttar du runt data/dokument mellan privat- och jobbdator? 14. Använder du datorn till icke jobbrelaterade ärenden? 15. Sparar du dina dokument på datorn eller på servrarna? 16. Har du blivit informerad om hur jobbdatorn ska användas? 17. Vet du vad som händer med din gamla dator när den byts ut? 18. Brukar du få "konstiga" mail? - Hur ofta får de dessa mejl? - Brukar du trycka på dessa mejl? 68

77 Bilaga 2 - Topologi innan implementering 69

78 Bilaga 3 - Topologi efter implementering 70

79 Bilaga 4 - HTML-kod <!-- <body> <head> <center><img src=" width="150" height="60" alt="bild" /></center><br> <center> <font size="5">byte av lösenord</font></center> <br> <center> <form> Fyll i ditt användarnamn: <br> <input type="text" name="firstname"> <br> <br> <center> <form> Fyll i ditt nuvarande lösenord: <br> <input name="passwd" type="text" class="input" id="passwd" value=" " style="padding-left: 5px; width: 139px;" onfocus="this.value == ' ' && this.type!= 'password' && (this.value = '')" onblur="this.value == '' && (this.value = 'Lösenord') && (this.type = 'text')" onkeydown="this.type == 'text' && (this.type = 'password')" autocomplete="off"> <br> <br> Fyll i ditt nya lösenord: <br> <input name="passwd" type="text" class="input" id="passwd" value=" " style="padding-left: 5px; width: 139px;" onfocus="this.value == ' ' && this.type!= 'password' && (this.value = '')" onblur="this.value == '' && (this.value = 'Lösenord') && (this.type = 'text')" onkeydown="this.type == 'text' && (this.type = 'password')" autocomplete="off"> <br> <br> Bekräfta ditt nya lösenord: <br> <input name="passwd" type="text" class="input" id="passwd" value=" " style="padding-left: 5px; width: 139px;" onfocus="this.value == ' ' && this.type!= 'password' && (this.value = '')" onblur="this.value == '' && (this.value = 'Lösenord') && (this.type = 'text')" onkeydown="this.type == 'text' && (this.type = 'password')" autocomplete="off"> <br> <button type="button" onclick="location.href=' lösenord</a> <br> 71

80 </center> <script language="javascript" type="text/javascript"> function redirect(url) { document.location=url; return false; } </script> <!-- START Susnet BESÖKSREGISTRERINGSKOD --> <script type="text/javascript" src=" </script> <script type="text/javascript"> susnet_counter_id = ; susnet_security_code = '1307a8'; susnet_node=0; register(); </script> <!-- SLUT Susnet BESÖKSREGISTRERINGSKOD --> <center> <font size="1"> Bisnode Information AB S151, Stockholm Tel E-post [email protected] Ansvarig utgivare Jonas Åkerman, Bisnode Information AB</font> </center> ##statistics## </body> ##meta_tags## </head> <!-- <body> <head> <center> <font size="5">obs ditt lösenord har inte blivit ändrat! Detta var bara ett test, smsa Nawar vid frågor. <br> Prata inte med dina kollegor om detta är du snäll. Tack!</font></center> <br> </center> <!-- START Susnet BESÖKSREGISTRERINGSKOD --> 72

81 <script type="text/javascript" src=" </script> <script type="text/javascript"> susnet_counter_id = ; susnet_security_code = '1307b0'; susnet_node=0; register(); </script> <!-- SLUT Susnet BESÖKSREGISTRERINGSKOD --> ##statistics## </body> ##meta_tags## </head> 73